Modelo de machine learning forensicamente integrado para detecção multi-classe de ameaças por e-mail com dataset sintético de alta fidelidade

Phishing, BEC (business email compromise) e malware distribuído por e-mail seguem entre os vetores de intrusão mais comuns, e boa parte da resposta a incidentes ainda depende de classificação manual de amostras suspeitas. O artigo, publicado no volume 57 (junho de 2026) da FSI: Digital Investigation, descreve um modelo de ML para classificar múltiplas categorias de ameaça por e-mail — phishing, spam, malware, BEC, entre outras — treinado sobre um dataset sintético construído para simular tráfego realista sem os problemas de privacidade de usar e-mails reais de usuários. O texto integral está atrás de paywall; a leitura abaixo é contextual.

A integração "forense" citada no título normalmente significa desenhar o pipeline de classificação para preservar proveniência e explicabilidade das decisões — quais features levaram a cada classificação —, gerar logs e metadados compatíveis com cadeia de custódia, e permitir que o resultado do modelo sirva como evidência auxiliar defensável em um relatório pericial, em vez de atuar apenas como filtro de caixa de entrada.

A diferença entre uma ferramenta de segurança comum e uma "forensicamente integrada" está exatamente nessa capacidade de sustentar o resultado sob escrutínio jurídico ou de auditoria: a maioria dos modelos de detecção usados hoje em SOCs não foi desenhada pensando em como suas saídas seriam usadas como evidência. Pesquisa nessa linha é relevante para equipes de resposta a incidentes que precisam justificar tecnicamente, em laudo, decisões automatizadas de classificação de ameaças por e-mail.