Seu Chefe Não Mandou um Email. Uma IA Treinada nas Três Últimas Respostas Dele É Quem Mandou.

O indicador antigo de um email falso de chefe era gramática ruim e uma saudação estranha. Esse indicador desapareceu. Ferramentas generativas agora ingerem uma thread de email raspada e imitam a cadência exata, pontuação e assinatura de um colega, e é por isso que o comprometimento de email empresarial continua drenando empresas — o Internet Crime Complaint Center do FBI registrou $2.9 bilhões em perdas reportadas de BEC em 2023 apenas. A única defesa confiável que restou é mover a conversa para um canal diferente antes de agir.

Por que não consigo confiar em um email que soa exatamente como meu gerente?

Porque "soa como ele" agora é a parte mais fácil de falsificar. BEC costumava contar com um endereço hijacked ou parecido acoplado a um texto desajeitado; a phrasing estranha era o indício. Alimente um modelo de linguagem grande com três respostas reais de alguém e ele vai igualar seu ritmo — a forma como abrem com "Hey," pulam pontuação quando apressados, assinam com só uma inicial. Atacantes conseguem essas respostas de uma caixa de correio comprometida, uma thread encaminhada, ou uma cadeia reply-all que vazou da empresa.

O Verizon's 2024 Data Breach Investigations Report descobriu que o elemento humano esteve envolvido em aproximadamente 68% dos breaches, com social engineering e pretexting sendo um padrão dominante. Estilo não é mais evidência. A pessoa que escreve como seu CFO pode ser um modelo treinado em quinze minutos da outbox do seu CFO.

Como é que fica um desses fakes atualizados de verdade?

Fica parecido com um pedido curto, plausível, levemente urgente que se encaixa em uma conversa real já em andamento. O movimento clássico: uma resposta inserida em uma thread existente sobre um pagamento de fornecedor, com novas instruções de transferência e uma linha como "banco sinalizou a conta antiga, use essa." Sem typos, nomes de projeto corretos, os tics de fala reais do seu chefe.

O detalhe técnico é que o display name pode ler perfeitamente enquanto o domínio de envio está desligado por um caractere — @company-invoices.com em vez de @company.com — ou o Reply-To aponta silenciosamente para outro lugar. Autenticação ajuda aqui: uma mensagem que falha no alinhamento SPF, DKIM, ou DMARC é suspeita não importa o quão humana ela pareça. Ferramentas de email de IA, incluindo a detecção de fraude de scam e invoice integrada em email de IA com detecção de scam, verificam esses headers automaticamente, porque uma pessoa esquadrinhando num telefone nunca vai fazer.

Então como eu de verdade verifico um pedido que não consigo confiar à primeira vista?

Mude de canal e confirme por um que você já conhece, não um que o email deu a você. Se o email pede dinheiro ou credenciais, ligue para a pessoa em um número dos seus contatos ou diretório da empresa — nunca o número na assinatura. Caminhe até a mesa dela. Mande mensagem no chat interno. O scam inteiro depende de você ficar dentro do email, onde o atacante controla ambos os lados.

Faça isso uma regra, não um julgamento. Qualquer mudança de pagamento, qualquer transferência, qualquer detalhe bancário novo recebe confirmação de segundo canal, fim de papo — o IC3 recomenda consistentemente exatamente essa verificação verbal para BEC. Regras sobrevivem uma terça-feira à tarde ocupada; instintos não. E pare de tratar um estilo de escrita convincente como prova de qualquer coisa. A única coisa que um modelo treinado em respostas raspadas não consegue falsificar é seu chefe atendendo o telefone e dizendo que nunca mandou.