Incidentes concretos, campanhas e casos de fraude digital, com análise em português e link para a fonte.
Um homem de Ohio foi condenado a 15 anos de prisão por uma série de crimes cibernéticos que incluem perseguição online (cyberstalking) e sextorsão de múltiplas vítimas usando conteúdo pornográfico gerado por inteligência artificial. O caso ilustra como ferramentas de IA generativa vêm sendo incorporadas a esquemas de extorsão, ampliando o alcance e o poder de coerção sobre as vítimas.
Fonte ↗O grupo GoldFactory está distribuindo o trojan bancário Android Gigabud em conjunto com o Vwork, uma versão modificada do clonador de aplicativos open-source Shelter, para clonar apps bancários legítimos em um perfil isolado do sistema e executar transações fraudulentas sem levantar suspeita. A campanha já comprometeu mais de 1.400 dispositivos na Indonésia, com perdas próximas de US$ 961 mil entre fevereiro e julho de 2026, e também atinge Brasil, Colômbia, México e outros países.
Fonte ↗Uma operação batizada de DoppelCart mantém uma rede de mais de 119 mil domínios que simulam e-commerces legítimos para coletar dados de cartão de pagamento de consumidores no momento do checkout falso. A escala do número de domínios sugere infraestrutura automatizada de criação em massa de lojas fraudulentas, um modelo que dificulta o takedown por operar em volume e rotatividade constante.
Fonte ↗O grupo de extorsão ShinyHunters alega ter comprometido o sistema DAVID, plataforma usada pelo Departamento de Trânsito (DMV) da Flórida, e roubado mais de 200 mil registros de motoristas. Dados de identidade governamental como esses são especialmente valiosos para fraude, pois costumam conter nome completo, endereço, data de nascimento e número de habilitação — insumos-chave para roubo de identidade e abertura de contas fraudulentas.
Fonte ↗Pesquisadores da ZeroBEC identificaram uma atualização significativa no kit de phishing-as-a-service Greatness, que agora combina ataques adversary-in-the-middle (AiTM) com roubo de token de sessão e phishing de código de dispositivo, mirando contas corporativas do Microsoft 365, Google Workspace, iCloud e Yahoo. A evolução torna o kit capaz de contornar autenticação multifator tradicional, ampliando o risco para organizações que dependem apenas de MFA baseado em senha temporária.
Fonte ↗Um cluster de ameaças batizado de PREY-0058 está comprometendo executivos de alto escalão em ambientes Microsoft 365 usando apenas engenharia social por telefone, sem qualquer malware. Os atacantes se passam por suporte de TI interno, capturam credenciais e aprovações de MFA em tempo real e sequestram a sessão para drenar dados de SharePoint, OneDrive, Exchange e Box antes de exigir resgate.
Fonte ↗Um banco de dados com 32,8 milhões de registros de usuários ligados a publicações da Condé Nast, incluindo e-mail, nome, endereço e data de nascimento, está à venda por US$ 15 mil em um fórum russo de cibercrime. A combinação de dados reais de identidade e endereço abre caminho para golpes de personificação da própria marca contra assinantes.
Fonte ↗Pesquisadores da CloudSEK acessaram o painel de controle do BigBear 2.0, um phishing-as-a-service construído sobre o Evilginx2 que rouba credenciais, códigos de MFA e cookies de sessão do Microsoft 365 em tempo real. O serviço já exfiltrou mais de 5 mil credenciais e derrubou a autenticação multifator completa de 258 organizações em mais de 40 países.
Fonte ↗A fabricante de carteiras de hardware Trezor ampliou para 81 mil o número de clientes afetados por um vazamento originado na sua parceira de logística ShipMonk, explorada via SQL injection zero-day no Metabase. Os dados expostos são nome, endereço, e-mail, telefone e número do pedido — informação suficiente para golpistas montarem contatos falsos convincentes atrás da seed phrase da carteira.
Fonte ↗A Check Point Research detalhou o funcionamento do JSCeal, um ladrão de criptoativos ativo desde 2025 que compila seu código em bytecode V8 para dificultar a engenharia reversa. Além de roubar senhas, cookies e sessões do Telegram, o malware ataca diretamente exchanges como Binance e Bybit e chega a substituir scripts legítimos do Ledger para desviar transações.
Fonte ↗Pesquisadores identificaram campanhas de phishing que usam caracteres Unicode invisíveis do bloco Tags para fragmentar palavras-chave sensíveis, como “funding” e “credit”, e assim escapar de filtros de e-mail baseados em listas de termos. A Microsoft chegou a registrar picos de 2,37 milhões de mensagens diárias em uma dessas campanhas, embora tenha barrado mais de 99% delas usando outros sinais de detecção.
Fonte ↗Analistas identificaram uma campanha de phishing em larga escala que abusa de seis serviços legítimos do Google (Meet, Search, DoubleClick, Custom Search, Image Search e Tag Manager) como redirecionadores abertos antes de levar a vítima ao site fraudulento. O golpe segue duas trilhas: roubo de credenciais forçando duas submissões de senha, ou instalação de um acesso remoto (ScreenConnect) disfarçado de verificação de identidade. Dados roubados são exfiltrados via bot do Telegram após validação por consulta de registros MX, o que ajuda os atacantes a filtrar pesquisadores de segurança e ambientes de sandbox.
Fonte ↗A IDScan, empresa que fornece sistemas de verificação de identidade usados por locadoras de veículos, varejistas, bancos e hotéis, sofreu uma invasão cujos dados foram colocados à venda em um serviço clandestino chamado Nexus. O pacote inclui mais de 153 milhões de scans de carteiras de motorista dos EUA e Canadá, 10 milhões de documentos de identidade, 3 milhões de documentos de viagem e 579 mil cartões médicos. A empresa já responde a múltiplas ações judiciais e o FBI abriu investigação sobre o caso.
Fonte ↗Um serviço de roubo de identidade chamado Nexus apareceu na dark web em 1º de setembro oferecendo busca em mais de 153 milhões de carteiras de habilitação dos EUA e Canadá, além de carteiras de identidade, documentos de viagem e carteiras de saúde. Investigadores rastrearam a origem até a IDScan.net, empresa de verificação de identidade usada por Hertz, Target, FedEx e outras grandes marcas, e o FBI abriu investigação após constatar que documentos de agentes federais também vazaram.
Fonte ↗Um vendedor em fórum russo de compra e venda de dados listou o que chama de base da Ticketmaster com mais de 412 mil registros de compradores latino-americanos, 61% deles brasileiros, incluindo nome, CPF, e-mail, telefone e detalhes de pagamento. O anúncio é explícito quanto ao uso: o próprio vendedor afirma que os CPFs servem para fraude bancária, aplicativos de empréstimo e registro fraudulento de chip (SIM swap).
Fonte ↗O ator conhecido como ChenLun opera desde o Telegram o 'Outsider Phishing Kit', um phishing-as-a-service com mais de 267 templates prontos mirando bancos, PayPal, operadoras de telefonia, governos e e-commerces em 54 países. Mesmo após uma ação da Google e a 'Operation Ghost Hook' em junho de 2026, a operação registrou mais de 700 novos domínios em um único mês, sustentada por um modelo descentralizado de afiliados. O kit rouba cartões, credenciais e contorna MFA em tempo real via WebSocket, com distribuição majoritariamente por SMS (smishing).
Fonte ↗O grupo iraniano Mirage Kitten está abordando engenheiros de software no LinkedIn com falsas ofertas de vaga em fintechs e empresas de aviação no Egito, Etiópia e Afeganistão. O 'teste técnico' enviado à vítima é, na verdade, um projeto trojanizado hospedado num link Amazon S3 legítimo, distribuindo os malwares NodeRabbit e PollCat. O golpe usa um truque inédito de engenharia social: proibir explicitamente o uso de assistentes de IA na revisão do código, justamente porque uma IA identificaria a importação maliciosa.
Fonte ↗Pesquisadores da Zimperium identificaram uma campanha ampla que se passa por recrutadores de RH de marcas como Amazon, Apple, FIFA, Boeing e Deloitte, conduzindo entrevistas falsas altamente realistas com candidatos a emprego. O golpe usa a técnica Browser-in-the-Browser (BitB), que simula uma janela de navegador de login (ex.: OAuth) dentro da própria página, e é ainda mais perigoso em dispositivos móveis, onde não há barra de endereço visível para o usuário conferir a autenticidade. O kit filtra e-mails pessoais, mirando exclusivamente contas corporativas, e ao capturar o login obtém tokens OAuth e comunicações internas para movimentação lateral na empresa da vítima.
Fonte ↗Um problema no processo de verificação de e-mail da Lenovo permitia que qualquer pessoa registrasse um Lenovo ID usando o endereço de e-mail de outra pessoa sem confirmação adicional. Como o Dropbox aceitava login via Lenovo ID confiando na alegação da Lenovo sobre a posse do e-mail, atacantes conseguiram sequestrar cerca de 5 mil contas Dropbox entre 4 e 21 de agosto de 2026, sem precisar da senha original, chegando a visualizar e baixar arquivos das vítimas.
Fonte ↗Pesquisadores da Group-IB identificaram o Balonx, uma plataforma de phishing-as-a-service cujo módulo 'CallFlow' elimina a necessidade de um operador humano em golpes de vishing (phishing por voz). O sistema combina GPT-4o-mini para gerar respostas, ElevenLabs e OpenAI Voice para sintetizar uma voz realista de suposto atendente bancário, e Whisper para transcrever em tempo real as respostas da vítima, tornando a ligação praticamente indistinguível de um call center real. Um painel permite a um único operador monitorar e, se necessário, assumir centenas de ligações fraudulentas simultâneas.
Fonte ↗Um serviço batizado de 'Nexus' passou a vender na dark web digitalizações de mais de 153 milhões de carteiras de motorista de cidadãos dos EUA e Canadá, além de milhões de outros documentos de identidade e cartões médicos. O jornalista Brian Krebs rastreou a origem dos dados até a IDScan.net, empresa de verificação de identidade usada por locadoras de veículos, varejistas e cassinos, levando o FBI a abrir investigação formal. O vazamento expõe milhões de pessoas — incluindo autoridades públicas — a fraude de abertura de crédito e outros golpes de identidade.
Fonte ↗Pesquisadores da Fortra registraram alta de 40% no segundo trimestre de 2026 em ataques de 'SEO poisoning' com cloaking, apelidados de Chameleon, que usam domínios typosquatted para posicionar páginas de phishing no topo de buscas por termos como 'portal do cliente' e 'login de cartão de crédito' de bancos. A técnica é desenhada especificamente para enganar scanners automatizados de segurança, mostrando conteúdo limpo a eles e a página falsa apenas a vítimas reais. O resultado prático é furto de credenciais bancárias por um caminho que o usuário acredita ser confiável: o próprio buscador.
Fonte ↗A empresa de segurança Huntress documentou cinco casos em 2026 de operadores ligados à Coreia do Norte, rastreados como 'FAMOUS CHOLLIMA', que conseguiram vagas legítimas de TI em empresas ocidentais usando documentos falsificados e identidades roubadas. Os operadores usam dispositivos de KVM remoto, VPNs e proxies para simular presença local, executam o trabalho de fato e desviam parte do salário para financiar o regime norte-coreano. O caso ilustra como fraude de identidade e engenharia social contra processos de contratação (RH) viraram vetor de financiamento ilícito e evasão de sanções.
Fonte ↗O grupo Silver Fox está distribuindo o RAT ValleyRAT escondido dentro de instaladores que imitam apps populares como DingTalk, Chrome e Tencent Meeting, usando DLL sideloading para evitar detecção. O malware monitora a janela ativa e captura teclado e clipboard, dados que alimentam diretamente roubo de credenciais e fraude financeira. A campanha já soma mais de 100 mil detecções em 2026, concentradas na China e na Índia.
Fonte ↗Dois cidadãos nigerianos foram extraditados aos Estados Unidos e acusados de operar um esquema de sextorsão financeira que resultou na morte de dois adolescentes, no Mississippi e na Carolina do Norte. O golpe usava perfis falsos em redes sociais para obter imagens íntimas e depois extorquir pagamentos em bitcoin sob ameaça de divulgação. Os réus enfrentam pena mínima obrigatória de 30 anos de prisão.
Fonte ↗A Anthropic confirmou que infostealers como Vidar, LummaC2, StealC, RedLine, Acreed e Atomic Stealer roubaram cookies de sessão autenticada de usuários do Claude, permitindo acesso às contas sem precisar de senha nem 2FA. Os atacantes usaram esse acesso para consumir o uso pago das vítimas, e a empresa revogou sessões, removeu cartões salvos e reembolsou cobranças indevidas. O caso mostra que o roubo de sessão é hoje um vetor tão relevante para fraude quanto o roubo de senha.
Fonte ↗A Cisco Talos identificou o JWR, uma plataforma de phishing-as-a-service que transmite ao vivo, via WebSocket criptografado, a tela da vítima para o atacante enquanto ela preenche dados de cartão, CVV, senha, 2FA e documentos como passaporte. Isso permite ao golpista interagir em tempo real e guiar a vítima para maximizar o roubo, e as campanhas já miram autoridades de trânsito e serviços postais na Ásia e nos Emirados Árabes com pretexto de multas e taxas de entrega.
Fonte ↗O Google Threat Intelligence Group identificou uma campanha de vishing direcionada a funcionários de hedge funds e empresas financeiras, atribuída ao grupo de extorsão UNC6671, antigo BlackFile. Os atacantes ligam para os números pessoais dos funcionários se passando por TI interna, alegam migrações urgentes ou atualizações de MFA/FIDO2, e conduzem as vítimas a portais falsos que capturam credenciais e códigos de autenticação multifator por meio de infraestrutura adversary-in-the-middle. Uma vez dentro, automatizam a extração de dados de ambientes Microsoft 365 e Okta.
Fonte ↗Um relatório da Group-IB compara os desfechos de dois bancos atingidos pela mesma campanha de malware bancário GoldFactory, que já infectou cerca de 11 mil dispositivos na Indonésia, Tailândia e Vietnã e causou entre US$ 1,5 e 2 milhões em prejuízos. Enquanto o mercado registra fraude bem-sucedida em cerca de 0,25% dos aparelhos comprometidos, a instituição que unificou detecção, atribuição e resposta a incidentes reduziu essa taxa para 0,027% — nove vezes menor. O caso mostra que a arquitetura de resposta a fraude, e não apenas a detecção do malware em si, é o que determina o prejuízo final.
Fonte ↗A Group-IB identificou o WindRelay, um novo malware Android distribuído por meio de ligações em que golpistas se passam por funcionários de banco e induzem a vítima a instalar um app de "suporte". Uma vez com acesso remoto ao aparelho, os criminosos tomam empréstimos em nome da vítima, capturam dados de cartão e concluem transações fraudulentas usando o PIN informado durante a própria ligação. Um caso documentado mostrou o ataque completo, do primeiro contato ao roubo, em apenas 13 minutos.
Fonte ↗Pesquisadores da OX Security encontraram 24 pacotes no npm e em mirrors como UNPKG e npmmirror hospedando páginas HTML que imitam a verificação Cloudflare Turnstile, redirecionando visitantes para sites maliciosos independentemente do resultado do captcha. A técnica abusa da reputação de domínios legítimos de infraestrutura de desenvolvimento para contornar filtros de segurança que normalmente bloqueariam domínios de phishing recém-criados.
Fonte ↗A plataforma criminosa AnonyMousKIT, ativa desde início de 2024, usa agentes de IA com personas falsas — por voz, e-mail e SMS — para se passar pela Apple e extrair passcode, credenciais de iCloud e códigos de dois fatores de vítimas de roubo de iPhone. Com esses dados, os operadores desativam o Find My e o Activation Lock para revender os aparelhos, numa estrutura com mais de 500 domínios e 168 "revendedores", com 90% das chamadas direcionadas ao Brasil.
Fonte ↗A Group-IB expôs o Balonx Sistema, uma plataforma de Phishing-as-a-Service operada a partir do México que já mirou mais de 20 instituições financeiras, incluindo o Banamex. O serviço combina páginas de phishing em tempo real que interceptam códigos de segunda fator, um RAT para Android distribuído pela própria página falsa e um módulo de vishing com IA (CallFlow) capaz de sustentar até 30 ligações simultâneas com voz sintética. Uma falha operacional dos próprios criminosos, com repositórios no GitHub vazando código-fonte e credenciais, permitiu o mapeamento completo da operação.
Fonte ↗O trojan bancário ToxicPanda evoluiu para uma versão 2.0 que amplia drasticamente seu alcance, saindo de um foco europeu restrito para atacar 349 aplicativos financeiros em 16 países. A nova versão abusa da depuração sem fio (Wireless Debugging) do Android para obter acesso em nível de shell ao aparelho sem o conhecimento da vítima, além de usar telas sobrepostas falsas para roubar credenciais bancárias, PINs e senhas de bloqueio. A descoberta foi publicada pela equipe zLabs da Zimperium.
Fonte ↗Pesquisadores da UMass Amherst apresentaram no USENIX Security 2026 uma falha no kernel 3 EMV da Visa que permite usar cartões contactless vencidos ou até destruídos em compras reais. O problema está no campo de validade lido pelo terminal, que não é protegido criptograficamente, ao contrário do campo equivalente enviado ao banco emissor. Testes em lojas e supermercados reais confirmaram compras aprovadas com cartões expirados em pelo menos uma instituição, enquanto Mastercard, American Express e Discover bloquearam o mesmo ataque.
Fonte ↗Pesquisadores da ThreatFabric identificaram o Manic, malware Android que combina trojan bancário com spyware completo, ativo desde fevereiro de 2026 e monitorando 169 aplicativos, com foco em bancos ucranianos, serviços governamentais e plataformas de criptomoedas europeias. O malware abusa dos serviços de Acessibilidade para capturar PINs digitados em apps bancários sem interromper a transação, e usa uma rede mesh via Bluetooth e Wi-Fi Direct para exfiltrar dados mesmo quando o aparelho infectado está sem acesso à internet.
Fonte ↗Uma campanha de Business Email Compromise analisada pela KnowBe4 mostra um e-mail forjado, simulando comunicação interna do Metropolitan Bank and Trust Company sobre uma transferência SWIFT pendente, entregando um script ofuscado que carrega o infostealer Agent Tesla inteiramente em memória, sem gravar o payload final em disco. O malware varre 21 módulos de coleta de credenciais — navegadores, Outlook, Discord, cofre de credenciais do Windows — antes de exfiltrar tudo via FTP, mirando departamentos financeiros para viabilizar fraude de pagamento.
Fonte ↗Um criminoso, provavelmente ligado a operações de ransomware-as-a-service, está contatando vítimas antes mesmo do ataque se tornar público, se passando por uma firma de recuperação chamada "Ransom Busters". Ele cobra entre US$ 20 mil e US$ 60 mil prometendo apagar dados roubados ou entregar chaves de descriptografia, mas provavelmente é apenas o próprio operador do ataque monetizando a vítima duas vezes.
Fonte ↗O MacSync Stealer é um infostealer para macOS que rouba senhas de Keychain e navegador, chaves SSH, credenciais AWS e ativos de wallets como Ledger e Trezor, distribuído via técnica ClickFix. A Microsoft conseguiu ligar mais de 30 domínios diferentes à mesma campanha analisando padrões de comportamento (sequências de requisições, uploads em chunks, criação de arquivos temporários) em vez de depender de listas de domínios maliciosos, que os operadores trocam constantemente.
Fonte ↗Pesquisadores da Ransomnews mapearam mais de 50 mil chaves de API do Stripe expostas em repositórios públicos do GitHub, logs de GitHub Actions e servidores mal configurados, das quais cerca de 12% ainda estavam ativas e funcionais. Com uma chave secreta válida, um atacante consegue acessar dados de clientes, criar cobranças fraudulentas, emitir reembolsos para contas próprias e sequestrar webhooks — os pesquisadores comprovaram uma cobrança de teste de US$ 1 apenas 17 horas depois de encontrar uma chave ativa.
Fonte ↗A Group-IB expôs o "Balonx Sistema", uma plataforma de Phishing-as-a-Service vendida por assinatura semanal (a partir de 3.000 MXN) que mira mais de 20 instituições financeiras mexicanas, incluindo o Banamex. A operação combina páginas de phishing com WebSocket em tempo real para burlar MFA, um módulo de vishing automatizado por IA generativa (GPT-4o-mini, ElevenLabs, Whisper) e um RAT Android disfarçado de app de "proteção bancária".
Fonte ↗Uma falha de autorização no sistema de rastreamento de pedidos da fabricante de hardware wallets SafePal expôs nome, e-mail, endereço, telefone e histórico de compras de 39.798 clientes. A empresa confirma que seed phrases e chaves privadas não vazaram, mas os dados já estão sendo usados em ligações e e-mails de phishing que se passam por suporte técnico pedindo 'atualização de firmware' do dispositivo X1.
Fonte ↗Distribuído via campanhas ClickFix com páginas falsas no GitHub, o AmnesiaStealer é um infostealer para macOS com um módulo de streaming que duplica o perfil do navegador da vítima, abre uma instância headless e transmite a tela ao atacante a cerca de 3fps com controle total de mouse, teclado e navegação. Isso permite operar contas já logadas — bancos, exchanges de cripto, e-mail — preservando as impressões digitais do dispositivo e da rede, o que dificulta a detecção por sistemas antifraude baseados em device fingerprinting.
Fonte ↗Pesquisadores da ReliaQuest identificaram uma campanha em que roteadores Wi-Fi de hotéis nos EUA, Índia e Arábia Saudita são comprometidos e usados para envenenamento de DNS, redirecionando hóspedes diretamente para telas falsas de login do Microsoft 365. O golpe abusa do fluxo de autenticação por código de dispositivo (device code) do OAuth, dando ao atacante uma sessão já validada por MFA sem nunca capturar a senha da vítima.
Fonte ↗Em novembro de 2023, criminosos exploraram uma vulnerabilidade introduzida por uma atualização de software falha no sistema de processamento de pagamentos de um prestador de serviços do Commerzbank, iniciando débitos diretos não autorizados em contas de clientes alemães e desviando cerca de €30 milhões em quatro dias. O banco absorveu integralmente o prejuízo, e a 'Operação Klonen' prendeu quatro suspeitos no Brasil em agosto de 2026, com mais três indiciados na Espanha e na Bulgária.
Fonte ↗Pesquisadores da Zscaler ThreatLabz rastrearam, entre janeiro e junho de 2026, uma campanha de vishing em que atacantes primeiro inundam a caixa de entrada da vítima com spam para criar um pretexto de 'problema técnico', depois contatam via Microsoft Teams se passando por suporte de TI e induzem a vítima a conceder acesso remoto via Quick Assist. A partir daí, instalam backdoors e ferramentas de proxy para depois vender o acesso à rede comprometida a operadores de ransomware.
Fonte ↗A Kaspersky documentou o CrashStealer, um infostealer para macOS que se disfarça do utilitário nativo CrashReporter e é distribuído por meio de um site falso de uma ferramenta de videoconferência fictícia chamada 'Werkbit'. O malware usa um certificado de desenvolvedor Apple válido para contornar o Gatekeeper e rouba credenciais do Keychain, de 14 gerenciadores de senha e de 80 extensões de carteiras de criptomoeda.
Fonte ↗Um novo malware Android batizado WindRelay está sendo distribuído junto com o RAT SpyNote para executar fraudes bancárias completas em poucos minutos: o criminoso liga se passando por atendente do banco, induz a vítima a instalar um app personalizado com seu nome, assume o controle remoto do aparelho e, sem nenhum compartilhamento de tela, retransmite ao vivo os dados NFC do cartão físico enquanto solicita empréstimos pelo próprio app bancário da vítima. Pesquisadores documentaram um ataque completo — do primeiro contato ao saque — em cerca de 13 minutos.
Fonte ↗Em análise técnica própria, a Group-IB detalha o esquema de fraude que combina o RAT SpyNote com o novo malware de retransmissão NFC WindRelay, mostrando como o golpe opera como um kit completo: acesso remoto ao app bancário da vítima para solicitar empréstimos, somado a um canal de saque físico que converte o celular infectado em um leitor de pagamento fraudulento. A empresa identificou vítimas concentradas em República Tcheca, Eslováquia e Eslovênia e propõe indicadores de detecção específicos para bancos e operadoras móveis.
Fonte ↗Pesquisadores da KnowBe4 detalharam um kit de phishing que esconde o link malicioso final atrás de um redirecionador PHP hospedado em sites legítimos comprometidos, exibindo uma tela falsa de carregamento do OneDrive e usando um cookie de fingerprint (bp_redir_sess) para bloquear scanners automatizados. As vítimas são finalmente levadas a plataformas adversary-in-the-middle como Sneaky2FA e Tycoon 2FA, que roubam sessões já autenticadas com MFA.
Fonte ↗