Campanha de phishing usa arquivos SVG disfarçados de mensagem de voz para roubar credenciais e burlar MFA
Pesquisadores da INKY identificaram, entre junho e agosto de 2026, uma campanha de phishing que usa arquivos SVG contendo JavaScript malicioso para redirecionar vítimas a páginas de roubo de credenciais que imitam Microsoft 365, Google Workspace e Adobe. Os e-mails, disfarçados de notificação de mensagem de voz perdida, são enviados em horário comercial para parecerem legítimos, e muitas das páginas finais funcionam como proxies adversary-in-the-middle capazes de capturar sessão autenticada e derrotar MFA. O uso de SVG é atraente para o atacante porque muitos filtros de e-mail tratam esse formato como imagem inofensiva, não como conteúdo executável.
O truque técnico central da campanha é o abuso de um formato de arquivo que a maioria dos filtros de segurança de e-mail ainda subestima: SVG é, por especificação, um documento XML que pode conter tags de script, então um arquivo que parece uma imagem vetorial inofensiva na verdade carrega JavaScript executável. Ao ser aberto no navegador, esse script redireciona silenciosamente a vítima para a página de phishing final — funcionando como um "invólucro" que engana tanto gateways de e-mail seguro (SEGs) baseados em assinatura quanto o usuário, que não espera perigo em um anexo de imagem.
O pretexto da campanha — uma notificação de "mensagem de voz perdida" — é escolhido por gerar urgência moderada e curiosidade sem soar alarmante, um equilíbrio clássico de engenharia social: mensagens de voz costumam ser vistas como neutras e triviais de checar, reduzindo a hesitação da vítima antes do clique. O envio cronometrado para dias e horários comerciais reforça essa sensação de normalidade, imitando o padrão real de notificações corporativas de sistemas de telefonia unificada.
A página final, segundo a pesquisa, não é uma simples tela de login falsa estática: em muitos casos funciona como um proxy adversary-in-the-middle, retransmitindo a autenticação real da vítima ao serviço legítimo em tempo real enquanto captura usuário, senha e o token de sessão já autenticado. Isso significa que mesmo contas protegidas por MFA tradicional (código por app ou SMS) podem ser comprometidas, porque o atacante rouba a sessão pós-autenticação, e não apenas a senha.
A mitigação mais direta é tratar SVG como conteúdo ativo, não como imagem: sandboxes de e-mail e gateways deveriam desarmar ou renderizar SVGs anexados como imagem estática sem execução de script, em vez de liberá-los por padrão. Do lado do usuário, o sinal de alerta prático é a combinação de anexo incomum (SVG em vez de MP3/WAV para uma suposta mensagem de voz) com pedido de login subsequente; e, estruturalmente, a adoção de chaves de segurança FIDO2/WebAuthn resistentes a phishing neutraliza esse tipo de ataque mesmo que o usuário caia na isca, porque o segredo criptográfico nunca é exposto à página do atacante.