Campanha de phishing abusa de Adobe e DocuSign para driblar filtros corporativos de e-mail

O ponto central dessa campanha é a exploração de reputação de domínio: em vez de hospedar a página falsa em um domínio recém-registrado (fácil de sinalizar), os atacantes usam serviços legítimos como o compartilhamento de documentos do Adobe InDesign e o DocuSign, que a maioria dos gateways de e-mail corporativos trata como confiável por padrão. O link malicioso final ainda passa por camadas de redirecionamento via Google AMP e parâmetros codificados, dificultando a análise estática automatizada.

O refinamento mais notável é a personalização dinâmica: o código da página de phishing extrai o domínio do e-mail da vítima e usa a API pública da Clearbit para buscar e exibir o logo real da empresa da vítima, aumentando a aparência de legitimidade sem esforço manual do atacante — uma técnica que escala facilmente para centenas de empresas diferentes com a mesma infraestrutura.

Após a captura das credenciais na página falsa, os dados são exfiltrados tanto para servidores de comando e controle quanto, de forma notável, para bots do Telegram, que entregam as credenciais roubadas ao operador em tempo real — um padrão cada vez mais comum porque dispensa infraestrutura própria de recebimento de dados.

Credenciais corporativas roubadas dessa forma normalmente alimentam fraude de e-mail corporativo (BEC) e comprometimento de conta, então a defesa não pode se apoiar apenas na reputação de domínio. Organizações devem tratar links hospedados em serviços de terceiros com o mesmo ceticismo que um domínio desconhecido, reforçar treinamento de reconhecimento de phishing e adotar proteção de risco digital que monitore abuso de marca própria nesses serviços legítimos.