Microsoft detalha campanha de fraude de fatura com impersonação de executivos gerada por IA
A Microsoft descreveu uma campanha de comprometimento de e-mail corporativo que enviou mais de um milhão de mensagens em três dias, majoritariamente contra empresas dos EUA, usando faturas falsas do ServiceNow e e-mails de executivos falsificados para induzir pagamentos ACH fraudulentos de cerca de US$ 50 mil por vítima. Indícios como comentários HTML excessivos e estrutura de template muito uniforme sugerem que os materiais fraudulentos foram gerados com apoio de IA generativa.
Entre os dias 3 e 5 de agosto de 2026, a Microsoft rastreou uma campanha de fraude de fatura que disparou mais de um milhão de e-mails, com 87,7% dos alvos concentrados em empresas dos Estados Unidos, atingindo principalmente departamentos financeiros e de contas a pagar em setores como serviços de TI, consultoria e bens de consumo. O objetivo final era induzir transferências ACH fraudulentas na casa de US$ 50 mil por vítima, um esquema clássico de Business Email Compromise (BEC) potencializado por uma produção de conteúdo em massa incomum para esse tipo de golpe.
A cadeia de engano combinou domínios sósias registrados para imitar o ServiceNow (como service-nowinc[.]com), falsificação do remetente e do campo "responder para" com nomes de CEOs, CFOs e presidentes reais das empresas-alvo, faturas fabricadas com logotipos e itens de linha detalhados, e até threads de e-mail falsas simulando conversas anteriores entre os executivos impersonados aprovando a compra. A Microsoft aponta como indício de geração por IA a uniformidade da estrutura dos templates, comentários HTML extensos e padronizados e marcadores estilísticos como travessões e cabeçalhos de seção em maiúsculas — características associadas a texto produzido por modelos de linguagem em vez de escrito manualmente por golpistas.
O uso de IA generativa aqui não está na exploração de uma falha técnica, mas na produção industrial de artefatos de engenharia social plausíveis: documentos, e-mails e narrativas de conversa coerentes que antes exigiriam esforço manual significativo para escalar a um milhão de mensagens em 72 horas. Isso reduz o custo marginal de personalizar e formatar cada isca fraudulenta, tornando campanhas de BEC mais difíceis de filtrar por heurísticas simples baseadas em erros de português/inglês ou formatação malfeita, historicamente um dos sinais mais usados para identificar phishing.
As recomendações da Microsoft seguem a linha de defesa em profundidade já conhecida contra BEC — Zero-Hour Auto Purge para remoção retroativa, disrupção automática de ataques no Defender XDR, autenticação de e-mail (SPF, DKIM, DMARC) bem configurada e soluções antiphishing avançadas — mas o caso reforça que a IA generativa está deslocando o gargalo do ataque de "escrever um e-mail convincente" para "validar transferências financeiras fora de banda", já que o conteúdo textual deixa de ser o elo mais fraco da fraude.