Siga ZDNET: Adicione-nos como fonte preferencial no Google.
Principais conclusões da ZDNET
- A nova ferramenta de verificação de golpes da NordVPN usa IA para detectar conteúdo suspeito.
- Você precisará de mais do que serviços independentes para se proteger contra golpes.
- É assim que identificamos golpes que estão se tornando mais convincentes.
Muitos de nós crescemos com fraudes online, mas as que encontramos agora estão muito distantes de depósitos falsos, ganhos na loteria ou mensagens de um parente há muito perdido que deseja legar a você milhões de dólares como herança.
Também: Um golpe de investimento meta-poderoso está se espalhando por 25 países – como identificá-lo (e evitá-lo)
Claro, esses e-mails padronizados de phishing e spam existem – se você for como eu, centenas deles enchem minha pasta de spam todas as semanas. Mas quando um golpista dedica um tempo para direcionar seu conteúdo e usa novas tecnologias para melhorar seus e-mails de atração, pode ser difícil identificá-lo.
O problema é que a IA pode ser usada de forma abusiva para gerar golpes convincentes que não possuem as características de campanhas de phishing anteriores. Uma estimativa 82,6% dos e-mails de phishing usam alguma forma de IA, mas será que podemos virar o jogo e usar a IA para combater a tendência?
Verificador de golpes gratuito da NordVPN
Esta semana, a NordVPN lançou uma ferramenta de verificação de golpes com tecnologia de IA. É gratuito e baseado na web, permitindo que você verifique rapidamente um link, arquivo ou texto em busca de evidências de fraude. Você também pode fazer upload de uma imagem ou captura de tela.
Você não precisa de uma conta para se inscrever – basta visitar a página, enviar as informações que deseja verificar e clicar em analisar.
O serviço da NordVPN então verifica URLs, endereços de e-mail e números de telefone em relação a bancos de dados e fontes maliciosas conhecidas. Se você quiser analisar um corpo de texto, um algoritmo de IA verifica o conteúdo em busca de padrões “comumente usados em golpes, como táticas de intimidação e urgência artificial”, segundo a empresa.
Eu queria ver quão eficaz poderia ser um detector de golpes apoiado por IA. Durante o teste o serviço webcomparei pela primeira vez um típico golpe de loteria comum retirado da minha caixa de entrada.
Sucesso. Também é muito útil descobrir o porquê, pois o verificador de golpes explica quais indicadores sugerem que esta mensagem é fraudulenta.
“A mensagem contém vários sinais de alerta indicativos de uma fraude, incluindo ganhos inesperados na loteria, uma grande quantia em dinheiro e uma solicitação de informações pessoais ou taxas para reivindicar o prêmio. Ela também menciona um banco não verificado e um patrocinador que normalmente não hospeda loterias, como a Coca-Cola.
Muitos de nós naturalmente reconheceríamos isso como uma farsa – mas e algo mais avançado?
A ascensão dos golpes de recrutamento
Dificilmente passa um dia sem que ouçamos falar de mais uma rodada de demissões. Muitos estão preocupados com o impacto da IA nos seus empregos e nas perspectivas futuras e, como resultado, os fraudadores estão a aproveitar-se dos nossos receios.
As fraudes laborais podem assumir a forma de anúncios de emprego falsos, mensagens, esquemas de pagamento por acesso e de formação e, talvez mais recentemente, fraudes de recrutamento direcionadas para cargos de alto nível.
Também: Sou um profissional de tecnologia e um golpe de emprego de IA quase me enganou – foi assim que descobri
Nas últimas semanas, recebi pelo menos um ou dois e-mails não solicitados diariamente de “recrutadores” que contornam os filtros de spam e phishing do Google – uma oportunidade perfeita para testar se as ferramentas de defesa de IA poderiam ou não detectá-los, quando o Google não consegue.
Como usuário do Reddit também experientehá sinais de alerta que indicam que se trata de uma fraude. Funções boas demais para serem verdadeiras, solicitações genéricas de informações, falta de endereço de e-mail ou site profissional (todas as mensagens foram enviadas via Gmail) e nenhum número de telefone.
O teste
Já faz algum tempo que jogo com esse golpista de recrutamento e eles parecem ter feito o dever de casa. As informações foram extraídas do meu LinkedIn e depois reunidas e, de acordo com o ChatGPT, o “fraseado excessivamente denso e costurado” e a “hiperpersonalização” – referenciando várias partes da minha experiência em uma frase longa – são típicos da extração de IA de um perfil.
Acrescente uma frase sobre um processo seletivo para afagar o ego e talvez você responda a tal pergunta. excitante oportunidade.
Eu queria saber como esse golpe funcionava, pois não é sempre que encontro tentativas direcionadas que chegam à minha caixa de entrada.
Bandeiras vermelhas e o que observar
Esse golpe se concentra na construção de confiança. Não houve pressão para fornecer qualquer informação, e eu só deveria entregar meu currículo a ele se estivesse interessado na função – um diretor de pesquisa do Gartner em estratégia de segurança cibernética com um salário de US$ 270.000 a US$ 350.000, mais incentivos.
No entanto, os seguintes sinais de alerta consolidaram minha crença de que se tratava de uma fraude de recrutamento:
- Endereço de email: Embora alguns recrutadores e headhunters independentes possam não usar um e-mail de trabalho profissional, o uso do Gmail me deixou imediatamente em guarda. Embora este e-mail usasse um nome completo, também encontrei muitos usando frases como “recrutamento” e “soluções de contratação”.
- Não solicitado: Não entrei em contato com os recrutadores nem mostrei qualquer indicação de que estou procurando uma nova função.
- Sem presença online: O recrutador não tem LinkedIn, nem site, nem histórico online, pelo que pude perceber.
- O nome: “Roberts Jordan” (ou era para ser Jordan Roberts?) parecia estranho. A IA poderia ter sido usada para o próprio corpo do e-mail, mas foi cometido um erro aqui com o nome.
- Sem métodos de comunicação: além do endereço de e-mail, nenhum endereço de site, endereço físico ou número de telefone foi fornecido.
O que achei particularmente interessante como indicador de fraude foi um e-mail subsequente contendo as especificações completas do trabalho do Gartner. Embora a função do Gartner realmente exista e tenha sido publicada on-line, a especificação que recebi foi adaptada à minha experiência – provavelmente por meio de IA, indicada na seguinte frase da lista de desejos:
“Mais de 7 a 15 anos de experiência em jornalismo de segurança cibernética, reportagem investigativa, pesquisa ou funções de consultoria.”
A armadilha
Enviei um currículo falso, que foi bem recebido. Mas, para ter a melhor chance de entrar no processo, eu precisava preencher uma biografia executiva, uma carta de apresentação executiva e uma avaliação SWOT, sendo esta última uma avaliação empresarial de pontos fortes e fracos, e oportunidades e ameaças – algo que você normalmente não exigiria de um candidato a emprego, outra bandeira vermelha.
E agora, o problema, polvilhado com urgência:
“Dado o cronograma acelerado para esta busca, espera-se que a vaga seja encerrada nos próximos dois dias, portanto, o envio oportuno ajudará a garantir que sua candidatura continue a progredir sem problemas.
Para apoiá-lo na preparação desses materiais, trabalho com um especialista que auxilia profissionais seniores no desenvolvimento de documentação executiva de alto nível. Eles podem ajudar a garantir que tudo esteja claramente articulado, estruturado profissionalmente e alinhado com o que a equipe de contratação procura especificamente. Se desejar, ficarei feliz em apresentá-lo para que possam trabalhar juntos diretamente e finalizar os materiais com eficiência.”
É aqui que você é pego. A assistente, “Rachel”, me ajudaria a preparar meus materiais – mas mediante o pagamento de uma taxa.
A IA pode detectar golpes de IA?
Coloquei a ferramenta da NordVPN à prova. Executei quatro dos principais e-mails enviados pelo recrutador através do sistema e recebi um alerta para um deles, que incluía o endereço de e-mail do assistente, sinalizado como suspeito.
Também comparei essas descobertas com verificadores de golpes online da F-Secure e AskSilver. A F-Secure sinalizou o primeiro e-mail como phishing, mas não explicou o porquê, e o AskSilver se recusou a analisá-lo.
Realizei esses testes novamente com vários outros e-mails fraudulentos de recrutamento semelhantes que recebi recentemente e os resultados foram os mesmos.
Como se manter protegido
O verificador de golpes da NordVPN funciona bem para golpes padrão e conteúdo de phishing, mas tem dificuldades com campanhas direcionadas mais avançadas – embora a equipe esteja continuamente refinando e melhorando a ferramenta. Não é surpreendente, uma vez que os agentes de ameaças estão a conceber novas formas de nos enganar todos os dias e os defensores estão sob pressão para se manterem à frente das tendências de fraudes e phishing.
“Os golpes de recrutamento são complicados porque muitas vezes evitam os típicos sinais de alerta”, disse Domininkas Virbickas, diretor de produto da NordVPN, à ZDNET. “Normalmente, não há nenhum link suspeito ou linguagem ameaçadora no início. A melhor maneira de identificá-los é prestar atenção ao processo em si.
Recrutadores legítimos não oferecem empregos sem uma entrevista adequada. Eles não levam você imediatamente para outras plataformas, como WhatsApp ou e-mail pessoal. E certamente não pedem informações pessoais confidenciais ou dinheiro antes de você ser formalmente contratado. Quer se trate de uma “taxa de treinamento”, compra de equipamento ou depósito de um cheque, qualquer oportunidade de trabalho que peça para você gastar ou movimentar dinheiro é quase certamente uma farsa”.
Os golpes de recrutamento atuais podem durar dias ou semanas, a fim de criar um nível de confiança antes que a armadilha seja acionada. Você deve sempre tratar e-mails não solicitados com cautela e anotar o endereço de e-mail usado – especialmente se não houver site, número de telefone ou perfis online correspondentes.
Até entregar o currículo pode ser um risco, pois pode conter informações pessoais como endereço e telefone. Nunca pague por um serviço de consultoria, a menos que saiba que é legítimo e, se uma função for proposta a você, vale a pena verificar online se há evidências ou até mesmo entrar em contato com o RH para verificação.
Neste momento, independentemente da influência da IA, ainda cabe a nós proteger a nós mesmos, às nossas informações e às nossas carteiras, seguindo uma regra básica: se parece bom demais para ser verdade, provavelmente é.
