Incidentes concretos, campanhas e casos de fraude digital, com análise em português e link para a fonte.
A Capcom confirmou acesso não autorizado ao serviço CAPCOM ID, expondo cerca de 11,7 milhões de endereços de e-mail e metadados de conta, com senhas alteradas sem autorização em 196 contas. A própria empresa alertou os usuários para o risco de campanhas de phishing que se passem por comunicações oficiais da Capcom ou de parceiros.
Fonte ↗Pesquisadores da Netcraft identificaram uma técnica em que atacantes enviam convites de calendário ICS maliciosos que se instalam diretamente na agenda da vítima, contornando filtros de segurança de e-mail. A técnica já está incorporada ao kit de phishing EvilTokens, voltado ao roubo de credenciais de contas Microsoft 365, e persiste no calendário mesmo após o e-mail original ser apagado.
Fonte ↗FBI e CISA emitiram alerta conjunto sobre duas frentes de fraude ligadas ao ciclo eleitoral: golpes contra eleitores usando nome, imagem e voz de candidatos (incluindo conteúdo sintético por IA) para captar doações falsas, e campanhas de phishing/smishing cada vez mais sofisticadas contra funcionários eleitorais e organizações políticas. As agências recomendam MFA resistente a phishing e verificação de doações apenas por canais oficiais.
Fonte ↗Um ator de ameaça comprometeu o pipeline de release do projeto LiteLLM em 21 de outubro de 2026 e publicou a versão 1.107.0 com malware infostealer embutido, distribuído simultaneamente via PyPI, Docker Hub e GHCR. O malware coleta credenciais de nuvem, segredos de CI/CD, dados de navegador e variáveis de ambiente das máquinas infectadas.
Fonte ↗Uma campanha ativa está usando páginas falsas do Calendly disfarçadas de agendamento de entrevista na Meta para roubar credenciais do Facebook e do Google de candidatos a emprego. Após a vítima preencher dados na página de agendamento falsa, ela é redirecionada a uma tela de login clonada, e o atacante captura a senha — e o código de MFA — em tempo real.
Fonte ↗O Group-IB identificou o SiriusQT, um trojan de acesso remoto (RAT) para Windows vendido como serviço (MaaS) em fóruns da deep web desde abril de 2026 por um operador conhecido como "GhostKernel". O malware combina HVNC, roubo de credenciais de navegadores Chromium, tokens do Discord e carteiras de criptomoedas, além de keylogging, captura de câmera/microfone e clonagem de perfil de navegador para sequestro de sessão. Cerca de 30 compradores já operam campanhas identificadas no Reino Unido, Alemanha, França, Espanha, Itália e Países Baixos.
Fonte ↗Pesquisadores da Fortra identificaram um aumento de 475% em campanhas de phishing que abusam de ferramentas legítimas de monitoramento e gestão remota (RMM), como o AnyDesk, para comprometer contas bancárias de empresas na América do Norte. A vítima é atraída por um alerta falso sobre a conta e, ao clicar em um botão de “chat ao vivo” em um site clonado do banco, baixa automaticamente o instalador do RMM, dando acesso remoto total ao atacante.
Fonte ↗Um relatório da Push Security mostra que o ClickFix se tornou a técnica de engenharia social dominante, saltando de 52% para 67% das detecções de ataque entre o segundo e o terceiro trimestre de 2026, com crescimento de até 23x relatado pela Microsoft entre dezembro de 2025 e maio de 2026. A novidade é o uso de páginas falsas de ferramentas de IA populares — como campanhas “InstallFix” (clonando downloads de Claude, Codex e NotebookLM) e “LLMshare” (abusando de recursos de compartilhamento do ChatGPT e Claude) — para convencer vítimas a colar e executar comandos maliciosos.
Fonte ↗Pesquisadores da Island identificaram uma campanha de phishing ativa que se disfarça de anúncios de ferramentas de IA populares — Gemini, Claude, ChatGPT, Perplexity e Muse — para atrair profissionais de marketing e mídia paga. A operação usa uma técnica de "navegador dentro do navegador" com barra de endereço falsificada para capturar credenciais e tokens de MFA em tempo real, visando contas de anúncios corporativas que já têm método de pagamento e orçamento aprovados.
Fonte ↗A Justiça americana condenou Chukwuemeka Victor Amachukwu a oito anos de prisão por liderar, entre 2019 e 2021, uma rede que usou spearphishing para invadir computadores de escritórios de contabilidade e preparação de impostos nos EUA, roubando dados fiscais e pessoais de mais de 800 clientes. Com essas informações, o grupo solicitou cerca de US$ 8,4 milhões em restituições fiscais fraudulentas (dos quais obteve US$ 2,5 milhões), quase US$ 820 mil em empréstimos emergenciais da SBA e mais de US$ 7 milhões por meio de um esquema de investimento falso com cartas de crédito fraudulentas.
Fonte ↗Pesquisadores do Group-IB documentaram como operadores do esquema Classiscam estao abusando do processo de cadastro de plataformas de spend management (gestao de despesas corporativas) para dois fins ao mesmo tempo: disparar notificacoes de pagamento falsas que imitam marketplaces conhecidos (phishing) e usar a integracao de open banking dessas plataformas para testar, de graca, se cartoes e credenciais bancarias roubados ainda estao ativos e com saldo. Como o abuso ocorre inteiramente na camada de cadastro e verificacao, ele fica invisivel para o monitoramento transacional tradicional, que so observa a movimentacao de dinheiro.
Fonte ↗O FBI realizou buscas em 40 residências no Texas como parte da operação 'Lonestar Roundup', desmontando um esquema que colocou agentes norte-coreanos como falsos funcionários remotos em mais de 70 empresas americanas usando identidades roubadas ou falsas. Dois cidadãos americanos foram presos e 14 pessoas indiciadas por facilitar o esquema, que operou de 2019 a 2025 e gerou cerca de US$ 3 milhões destinados ao regime da Coreia do Norte.
Fonte ↗Pesquisadores da ESET identificaram uma campanha de phishing que mira criadores de conteúdo do YouTube com propostas falsas de patrocínio de marcas como Nike, Spotify e Hollyland. Os golpistas constroem confiança ao longo de uma negociação simulada antes de induzir a vítima a conceder acesso à sua conta Google via um site fraudulento com métricas de campanha e calculadora de cachê. O objetivo final é o sequestro da conta e do canal, não apenas o roubo de senha.
Fonte ↗Pesquisadores da ThreatFabric identificaram o Hirudo, um trojan bancário para Android que não usa tela de login falsa por cima do app real — em vez disso, ele desinstala o aplicativo bancário legítimo e instala, no lugar, uma cópia modificada com as verificações de segurança desativadas. O malware já mirou oito apps de sete bancos indonésios e também foi visto atacando usuários na China, Índia, México, Marrocos e Tailândia.
Fonte ↗Microsoft e a Agência Nacional de Polícia do Japão, com apoio de Cloudflare, Oracle, Proofpoint, TRM Labs e outros parceiros, desmantelaram uma infraestrutura de phishing-as-a-service responsável por mais de 1 bilhão de mensagens maliciosas contra 75 mil organizações em 150 países. A operação atingiu o marketplace clandestino YAM Store e os kits de phishing CoGUI, Haozi e Iron Man, resultando na desativação de mais de 20 mil contas e bloqueio de 100 mil domínios.
Fonte ↗Cobertura complementar da BleepingComputer sobre o trojan Android Hirudo confirma, com citações diretas da ThreatFabric, que o malware lança o desinstalador do próprio app bancário e instala uma cópia adulterada usando a permissão de Acessibilidade. A reportagem detalha ainda como o hooking interno falsifica certificados de atestação e oculta a presença de serviços de acessibilidade para não disparar alarmes do próprio banco.
Fonte ↗O vazamento do builder crackeado do XWorm em 2025 fez as detecções do malware quadruplicarem, segundo a Netskope Threat Labs, que já identificou quatro versões ativas com 46 plugins. O setor financeiro responde por cerca de 35% das organizações atingidas, com forte atividade também no Brasil, e o diferencial do malware é um plugin que controla o navegador da vítima ao vivo, dispensando o roubo de credenciais e tornando a autenticação multifator irrelevante.
Fonte ↗A Group-IB analisou o KGB RAT, um trojan de acesso remoto vendido em fóruns underground como malware-as-a-service, com planos a partir de US$ 150/mês e crypter atualizado diariamente para evitar detecção. Além de keylogging, HVNC e extração de senhas salvas no Windows, o malware traz um módulo CryptoClipper que troca silenciosamente endereços de carteiras de criptomoeda copiados pela vítima, revelando motivação financeira clara por trás da ferramenta.
Fonte ↗Com GTA 6 previsto para novembro de 2026, a Kaspersky mapeou uma onda de golpes que exploram a ansiedade dos fãs: sites como o CyberLeek cobram em criptomoeda por um "jogo completo" inexistente, páginas falsas de pré-venda simulam a loja da PlayStation pedindo CPF e pagamento via Pix, e um token cripto não oficial promete acesso gratuito ao jogo em um possível esquema de pump-and-dump. Todos os golpes seguem o mesmo roteiro: domínio falso, urgência e pagamento irreversível antes da entrega de qualquer coisa.
Fonte ↗A ReliaQuest identificou um aumento de ataques de vishing e phishing via Microsoft Teams em que criminosos, incluindo grupos ligados ao ShinyHunters, se passam por suporte técnico interno para convencer funcionários a aprovar MFA, instalar software de acesso remoto ou registrar dispositivos falsos. A simplicidade da técnica — pedir uma ação cotidiana e familiar — é o que a torna eficaz mesmo contra organizações com MFA habilitado.
Fonte ↗A Fortra documentou uma campanha em que o criminoso se passa por um cliente em potencial para conseguir que um funcionário sem relação com vendas encaminhe, para um colega do time comercial, um link de agendamento malicioso. Como o link chega via encaminhamento de um colega confiável, o vendedor baixa a guarda e insere suas credenciais do Microsoft 365 em uma página de agendamento falsa — um exemplo de como engenharia social explora a cadeia de confiança interna, não apenas a confiança em remetentes externos.
Fonte ↗O grupo Silent Ransom Group extraiu aproximadamente US$ 207 milhões de 27 escritórios de advocacia dos EUA entre abril e setembro de 2026, usando apenas ligações telefônicas e engenharia social — sem ransomware, sem criptografia, sem payload técnico. Os atacantes se passam por suporte interno de TI para convencer advogados a enviar documentos confidenciais de clientes para contas de armazenamento externas, que depois servem de base para a extorsão. O pagamento mediano por caso foi de US$ 6 milhões, com um pico de US$ 30 milhões pago pelo escritório White & Case.
Fonte ↗Uma campanha ativa comprometeu mais de 100 sites para exibir uma tela falsa de verificação anti-bot do Cloudflare que, na prática, induz a vítima a copiar e colar um comando malicioso no Executar, PowerShell ou Prompt de Comando do Windows — a técnica conhecida como ClickFix. O comando instala o infostealer LunexStealer, que rouba senhas, cookies e histórico de navegação e pode assumir controle remoto do navegador da vítima.
Fonte ↗Pesquisadores da Fortra identificaram uma campanha em que atacantes se passam por clientes em potencial, contatam funcionários fora da área comercial e os convencem a encaminhar um link de agendamento ao time de vendas. O vendedor, ao receber o convite de um colega conhecido, confia e acaba inserindo credenciais do Microsoft 365 numa página de login falsa embutida no fluxo de agendamento.
Fonte ↗A Malwarebytes identificou uma campanha de phishing que promete 10 mil assinaturas gratuitas do Claude Max da Anthropic para atrair vítimas e roubar credenciais do Google. O site falso reproduz logo, cores e depoimentos forjados da Anthropic, usa contador regressivo para criar urgência e abre uma janela de navegador falsa (browser-in-the-browser) idêntica à tela de login real do Google. Toda interação de senha é redirecionada para essa janela fraudulenta, inclusive desativando o botão de login via Apple para forçar a vítima a usar a conta Google.
Fonte ↗A Netskope identificou um kit de phishing distribuído via Google Ads que se disfarça de loja online legítima e, após o clique, força o navegador em tela cheia para exibir um alerta de segurança falso atribuído à Microsoft ou à Apple. A página esconde a barra de endereço e o cursor, bloqueia a tecla Esc e outros atalhos de saída, toca alarmes sonoros e repete avisos insistindo para a vítima telefonar imediatamente para um falso suporte técnico.
Fonte ↗Uma campanha voltada a gestores de contas de publicidade usa sites fraudulentos que imitam ChatGPT, Gemini, Claude e Perplexity, anunciando-se como ferramentas de gestão de campanhas de mídia paga. Ao clicar em conectar, a vítima vê uma falsa tela de login do Google renderizada dentro de um iframe que imita uma janela de navegador real, e um operador humano assume o ataque em tempo real para extrair senhas, códigos de SMS, aprovações de autenticador ou QR codes e assim contornar o MFA.
Fonte ↗Durante a Prime Big Deal Days da Amazon, analistas de ameaças identificaram campanhas de phishing altamente evasivas: 75% das mensagens variam nome de exibição, domínio do remetente e assunto para escapar de filtros, e 64% usam caracteres ocultos e espaços de largura zero para contornar a detecção baseada em texto. As iscas mudam por região — de falsos problemas de cobrança nos EUA a avisos de falha de cartão e entrega na Europa — e parte das campanhas já usa imagens geradas por IA e texto invisível para escapar de scanners tradicionais.
Fonte ↗O grupo de mídia japonês Nikkei revelou dois incidentes distintos de comprometimento de contas de funcionários: uma conta Google Workspace invadida em julho, descoberta somente após alerta do próprio Google, e uma conta Microsoft 365 invadida em setembro. A conta Microsoft comprometida foi usada para disparar cerca de 9 mil e-mails de phishing a funcionários e entrevistados da empresa, enquanto a invasão da conta Google expôs nomes e e-mails de 1.646 pessoas.
Fonte ↗O Registro Central de População (CPR) da Dinamarca confirmou uma violação de dados que expôs nomes, endereços, datas de nascimento, status conjugal e o número CPR de cerca de 8,8 milhões de pessoas — aproximadamente 80% da base de 11 milhões de registros. A invasão não comprometeu o sistema central diretamente, mas abusou do acesso legítimo concedido a uma empresa privada dinamarquesa, combinado com força bruta para enumerar números CPR válidos.
Fonte ↗A fornecedora de software de RH e folha de pagamento Frontline Education confirmou que atacantes exploraram uma vulnerabilidade em um produto de terceiros para acessar seus sistemas e roubar dados de funcionários de distritos escolares, incluindo números de Seguro Social, e-mails e endereços físicos. A falha foi descoberta em 14 de agosto de 2026, mas as notificações aos distritos só começaram em outubro, e a extensão total do incidente ainda não foi divulgada publicamente. A empresa está oferecendo monitoramento de crédito e proteção contra roubo de identidade às vítimas adultas.
Fonte ↗Pesquisadores do Group-IB identificaram o Milk Dragon (também chamado NaiLong), um kit de Phishing-as-a-Service ativo desde outubro de 2025 que já gerou 258 páginas falsas em 66 países, impersonando 21 marcas conhecidas. Diferente do phishing tradicional baseado em medo e urgência, o kit atrai vítimas com anúncios de grandes descontos em marketplaces sociais e usa uma técnica de adversary-in-the-middle para interceptar cartões de crédito, contas PayPal e até tokens de autenticação multifator em tempo real. O modelo de assinatura, a partir de US$ 300/mês, e o painel de gestão de campanhas mostram um ecossistema criminoso profissionalizado e de fácil acesso para terceiros.
Fonte ↗Pesquisadores da Huntress identificaram ao menos 40 incidentes em que criminosos usaram anúncios patrocinados do Google e páginas falsas imitando 'Custom GPTs' do ChatGPT para induzir vítimas a copiar e colar comandos PowerShell (técnica ClickFix), instalando um RAT completo disfarçado de atualizador de impressora. O malware dá controle remoto total da máquina e extrai dados de 17 navegadores diferentes — exatamente o tipo de acesso usado depois para sequestro de contas e fraude financeira, mesmo que o artigo original não nomeie a motivação final dos operadores.
Fonte ↗Criminosos criaram GPTs personalizados falsos, promovidos em anúncios patrocinados do Google, que redirecionam vítimas para páginas que imitam uma verificação da Cloudflare e as induzem a colar comandos PowerShell no terminal. O comando dispara uma cadeia de infecção em múltiplas etapas que termina na instalação de um RAT com acesso a desktop remoto, câmera e microfone.
Fonte ↗Dois ex-integrantes da Força Aérea dos EUA foram condenados a mais de 15 anos de prisão combinados por operar um esquema de comprometimento de e-mail corporativo (BEC) que desviou ao menos US$ 2,4 milhões, usando phishing para roubar credenciais e domínios falsificados para redirecionar pagamentos a contas de mulas financeiras.
Fonte ↗Um cidadão vietnamita foi acusado de lavagem de dinheiro por receber e movimentar US$ 16 milhões extraídos de uma única vítima de um golpe de investimento em criptomoedas conhecido como "pig butchering", parte de um esquema mais amplo que já soma mais de US$ 125 milhões em prejuízos. O caso ilustra tanto a mecânica do golpe de confiança quanto a engenharia de lavagem que sustenta esse tipo de fraude em escala.
Fonte ↗O FBI emitiu um alerta nacional sobre campanhas de fraude em que criminosos se passam por agentes de lei e funcionarios do governo para extrair dinheiro e dados pessoais das vitimas. O contato ocorre por telefone, SMS e email, com falsificacao de numeros, nomes e credenciais de orgaos conhecidos, e as vitimas sao pressionadas com tom urgente a pagar via cripto, cartoes pre-pagos ou transferencia enquanto sao mantidas na linha.
Fonte ↗Um novo kit de phishing chamado GhostCode inicia o contato através do próprio formulário de contato da empresa-alvo, driblando filtros de e-mail, para depois enviar um link do WeTransfer com um arquivo HTML protegido por senha. O arquivo redireciona a vítima para uma página de phishing de “device code” do OAuth, que rouba um token que já carrega a validação de MFA — tornando a autenticação multifator ineficaz nesse cenário. O alvo preferencial são vendedores, abordados com pedidos falsos de assinatura de NDA.
Fonte ↗Atacantes comprometeram seis sites empresariais ucranianos e injetaram um falso CAPTCHA da Cloudflare que induz a vítima a executar um comando malicioso via clipboard. O payload, batizado Psychedelic Stealer, rouba senhas de navegadores e carteiras de criptomoedas como Exodus e Electrum. A campanha, rastreada por um painel próprio de distribuição, já registrou centenas de cliques originados majoritariamente da Ucrânia.
Fonte ↗Pesquisadores da Malwarebytes identificaram páginas de phishing extremamente bem produzidas, com sinais claros de terem sido geradas com apoio de IA, que se passam por avisos de renovação de antivírus. No caso documentado, a página falsificava o Avast Premium Security e cobrava €129,99 de vítimas na Bélgica. O golpe ocorre em duas etapas: captura de dados pessoais via formulário e, em seguida, uma ligação de um falso atendente que tenta instalar malware de acesso remoto ou roubar dados financeiros.
Fonte ↗A Group-IB documentou o "Outsider Phishing Kit", uma plataforma de phishing-as-a-service operada por um grupo baseado na China e vendida por assinatura via Telegram, responsável por mais de 100 mil páginas de phishing em 54 ou mais países entre dezembro de 2025 e maio de 2026. Mesmo após o Google processar o grupo com apoio do FBI na operação "Ghost Hook" em junho, a operação seguiu ativa, com centenas de novas páginas surgindo já no mês seguinte ao takedown. O kit reduz drasticamente a barreira técnica para lançar campanhas de fraude em massa, oferecendo templates prontos e painel centralizado de coleta de dados.
Fonte ↗Um ator financeiramente motivado, aparentemente chinês, está usando frameworks de IA agentic de código aberto para atacar em escala sites de e-commerce, já tendo infectado mais de 100 lojas e roubado acima de 600 mil registros de cartão de crédito. Três agentes especializados dividem o trabalho de varredura, exploração e orquestração da campanha praticamente sem intervenção humana. O custo operacional por loja atacada é de apenas alguns dólares, tornando o esquema replicável em escala industrial.
Fonte ↗Microsoft, Coinbase e a Polícia Metropolitana de Londres desmantelaram o EvilTokens, uma plataforma de phishing por assinatura operada pelo grupo Storm-2992 que vendia acesso via Telegram por US$1.500 de entrada mais US$500/mês. Em poucos meses o kit comprometeu mais de 12 mil caixas de e-mail em mais de 10 mil organizações usando phishing por código de dispositivo, que contorna o MFA. A operação usava IA para analisar as caixas invadidas e gerar automaticamente novas mensagens de phishing personalizadas contra os contatos da vítima.
Fonte ↗Criminosos criaram uma organização falsa no GitHub se passando pelo LastPass, otimizada para aparecer bem posicionada em buscas, e usaram um driver de kernel legítimo — assinado pela Microsoft mas apenas renomeado — para desativar 145 ferramentas de antivírus e EDR antes de instalar o infostealer Rapuncel. O malware rouba senhas de mais de 25 navegadores, carteiras de mais de 30 aplicativos de criptomoeda, tokens do Discord, sessões do Steam e credenciais do Windows, chegando a contornar a criptografia "app-bound" do Chrome/Edge lançada pelo Google em 2024. Pesquisadores identificaram depois um kit maior, o mesmo usado para se passar por mais de 40 empresas diferentes.
Fonte ↗A Group-IB identificou o RemControl, um trojan bancário Android operado como serviço (MaaS) desde maio de 2026, que usa overlays de phishing para roubar PIN, senha e dados de cartão de clientes de bancos na Europa Ocidental, Oriente Médio e Canadá. O malware se distribui por páginas falsas de um app de IPTV na Play Store e abusa do Serviço de Acessibilidade do Android para sobrepor telas falsas aos apps bancários legítimos. O achado mais curioso é que os próprios operadores parecem ter usado um assistente de IA para programar parte do painel de controle e das telas de phishing, sem que a IA soubesse o que estava realmente construindo.
Fonte ↗A Microsoft descreveu uma técnica em que atacantes ligam ou enviam SMS para o telefone pessoal da vítima se passando pelo helpdesk de TI, convencendo-a a "cadastrar uma passkey" — mas o objetivo real é interceptar device codes e tokens de sessão via ataque adversary-in-the-middle, contornando totalmente a MFA. O kit "BigBear 2.0", rastreado pela CloudSEK, já comprometeu 5.137 registros de credenciais, incluindo 474 autenticações completas com bypass de MFA, em mais de 40 países. Como o golpe costuma ocorrer em dispositivos pessoais fora do Defender for Endpoint, a atividade maliciosa passa despercebida pela telemetria corporativa.
Fonte ↗A Microsoft rastreou uma campanha de phishing que usou IA generativa para enviar mais de um milhão de e-mails personalizados a departamentos de contas a pagar, tentando executar fraudes de desvio de pagamento (payment diversion) de cerca de US$ 50 mil por golpe. Os atacantes se passaram por executivos como CEO e CFO e criaram faturas falsas com a marca de fornecedores reais, como o ServiceNow, para dar credibilidade ao pedido de transferência.
Fonte ↗Um alerta conjunto de agências de polícia e inteligência do Japão, EUA, Austrália e Alemanha expôs a campanha Contagious Interview (grupo WaterPlum), que usa falsas entrevistas de emprego para instalar malware em desenvolvedores. A operação já infectou mais de 30 mil dispositivos em mais de 100 países, comprometeu cerca de 7 mil carteiras de criptomoedas e resultou em US$ 10,71 milhões desviados para a Coreia do Norte.
Fonte ↗A BigCommerce notificou vários lojistas que usam os aplicativos de terceiros Ribon e Ribon 1.5 sobre um comprometimento de credenciais entre 13 e 17 de setembro. Os atacantes usaram as credenciais roubadas para injetar scripts maliciosos nas vitrines das lojas e acessar registros de clientes, expondo nomes, e-mails, telefones e endereços de entrega. Dados de cartão e senhas não vazaram porque a plataforma os armazena separadamente.
Fonte ↗Pesquisadores da Microsoft identificaram uma campanha de phishing que já atingiu milhões de e-mails usando "ASCII smuggling": caracteres Unicode invisíveis inseridos dentro de palavras-chave sensíveis para escapar de filtros automatizados de detecção. A técnica, originalmente popularizada em ataques de prompt injection contra assistentes de IA, agora é reaproveitada em campanhas de phishing tradicionais em larga escala.
Fonte ↗