Lojas falsas nas respostas da IA: os truques do SEO poisoning e das ordens escondidas antes da Black Friday

Pedir a um assistente de IA onde comprar um telemóvel mais barato parece um atalho seguro, mas a resposta só é tão boa como as páginas que a ferramenta foi buscar à web. Num alerta enviado a 4 de novembro, a ESET lembra que estas recomendações não garantem que o vendedor é legítimo e descreve as técnicas que permitem a um site fraudulento entrar numa resposta da IA ou até dar ordens a um agente. A empresa sublinha que testes e investigações já mostraram que isto é possível, mas que não há provas de uma campanha generalizada nas compras online em Portugal.

Quando a loja falsa chega à resposta

O primeiro truque é antigo. O SEO poisoning consiste em pôr páginas falsas no topo dos motores de pesquisa, e quando um assistente consulta a web para responder pode apanhá-las pelo caminho. A Microsoft descreveu em maio uma campanha com sites que imitavam programas conhecidos, como o CrystalDiskInfo, o HWMonitor e o PDFgear, e contou mais de 150 domínios maliciosos desde março de 2026. Em abril, segundo a empresa, alguns utilizadores poderão ter chegado a esses domínios através de conversas com ferramentas de IA. Quem descarregava o programa recebia um acesso remoto ao PC e software para minerar criptomoedas. A própria Microsoft ressalva que a ligação à IA assenta em padrões observados e não aponta um problema de nenhum serviço em concreto.

O risco cresce com os agentes que navegam por ti, abrem ligações e preenchem formulários. Num teste publicado em agosto de 2025, a Guardio Labs criou uma imitação da loja Walmart com um único pedido a uma ferramenta de IA e mandou o browser Comet, da Perplexity, comprar um Apple Watch. Em algumas tentativas, o agente pôs o relógio no carrinho e preencheu a morada e o cartão guardados no browser sem pedir confirmação. Noutras, parou e pediu à pessoa que terminasse o pagamento.

Ordens escondidas no texto

O segundo truque é o prompt injection. Uma página, um email ou um documento pode ter instruções que tu não vês, por exemplo em letras brancas sobre fundo branco, mas que a IA lê e pode tratar como se viessem de ti. A Guardio chamou PromptFix a uma variante em que as ordens ficam atrás de um falso CAPTCHA e levam o agente a carregar num botão e a descarregar um ficheiro. Em 2025, a falha EchoLeak (CVE-2025-32711) mostrou que um email com instruções escondidas podia levar o Microsoft 365 Copilot a revelar dados de uma empresa, antes de ser corrigida em junho desse ano.

A ESET junta um terceiro ponto fraco: as competências (skills), pequenos módulos que dizem a um agente como fazer uma tarefa. No relatório do primeiro semestre de 2026, a empresa analisou quase 900 mil e encontrou dezenas de milhares suspeitas e milhares maliciosas. Dá o exemplo da Credit Claw, uma competência legítima que deixa agentes fazer compras online, e avisa que uma atualização adulterada poderia desviar o que o agente compra. A ESET frisa que é um risco teórico e não um caso de fraude confirmado.

Se usas um agente com IA para compras, a recomendação da ESET é dar-lhe um perfil de browser à parte, sem cartões nem palavras-passe guardadas, e exigir que te peça autorização antes de cada pagamento. Também não lhe deves pedir para abrir emails, convites ou ficheiros de origem desconhecida. Nem as fabricantes prometem imunidade: numa publicação de novembro de 2025, a Anthropic, que desenvolve o Claude, reconheceu que nenhum agente de browser está a salvo deste tipo de ataque.

ESETBlack FridayInteligência artificialPrompt injectionPhishing