Analisando o cenário de ataque com uso de IA

Por Ricardo Costa Val do Rosario e ChatGPT 4.0

Cenário

• Um atacante tenta roubar a conta de um usuário em um sistema de viagens.

• O atacante já tem o e-mail da vítima.

• O site não possui autenticação adicional (como token por e-mail, 2FA ou captcha).

• Login exige apenas e-mail + senha.

PERGUNTA

Como o atacante poderia usar IA para descobrir a senha?

RESPOSTAS

Uso de modelos treinados com vazamentos de senhas

• Atacantes podem usar modelos de deep learning (ex.: redes neurais recorrentes ou transformers) treinados em grandes bases de senhas vazadas (como RockYou ou LinkedIn leaks) para gerar combinações realistas.

Exemplo de código Python com TensorFlow/Keras para gerar senhas no estilo das vazadas:

Python Copy

from tensorflow.keras.models import Sequential
from tensorflow.keras.layers import LSTM, Dense, Embedding
import numpy as np

# Suponha que já temos um dataset de senhas tokenizadas em X e Y
model = Sequential()
model.add(Embedding(input_dim=10000, output_dim=64))
model.add(LSTM(128, return_sequences=True))
model.add(LSTM(128))
model.add(Dense(10000, activation='softmax'))

model.compile(optimizer='adam', loss='categorical_crossentropy')

# Exemplo: model.fit(X, Y, epochs=20) # Treinamento

# Geração de senha semelhante ao dataset

def generate_password(seed_text, next_words=5):
    for _ in range(next_words):
        # Lógica para prever próxima palavra/token
        pass  # Código simplificado aqui
    return seed_text

print(generate_password("Travel"))

Obs: O código é ilustrativo e simplificado, pois o foco é conceitual.

Ataque de dicionário inteligente com NLP

• IA pode processar dados públicos da vítima (ex.: redes sociais) e criar listas de senhas prováveis, como combinações de nomes de pets, datas e locais.

Exemplo em pseudo-código de uso de NLP para criar dicionário:

Python Copy

from transformers import pipeline

analyzer = pipeline('feature-extraction', model='distilbert-base-uncased')
public_info = "João ama Paris e tem um cachorro chamado Rex."

features = analyzer(public_info)
# IA poderia extrair tokens como ["João", "Paris", "Rex"] e criar combinações:
# ["João123", "Paris2023", "Rex@2020"]

Bots inteligentes com aprendizado por reforço

• O atacante pode usar IA para ajustar a velocidade e padrão de tentativas conforme o site responde, evitando bloqueios por excesso de erro.

• Bypass de captchas fracos com visão computacional

• Se houvesse captcha básico, IA poderia usar redes convolucionais (CNNs) para reconhecê-lo.

Exemplo básico com OpenCV + TensorFlow (simulação)

Python Copy

import cv2
from tensorflow.keras.models import load_model

captcha_img = cv2.imread("captcha.png")
# Pré-processamento da imagem
# Aplicar OCR ou modelo CNN pré-treinado para decodificar captcha

Reflexão

• Esse cenário reforça a importância de mecanismos de autenticação de múltiplos fatores, limitação de tentativas de login, captchas robustos e monitoramento de acessos.

• A IA, quando usada por atacantes, torna os ataques mais rápidos e precisos.