Golpistas abusam de contas corporativas comprometidas e manipulam calendários para turbinar fraudes de BEC
Pesquisadores da Rapid7 descrevem uma evolução nos ataques de Business Email Compromise (BEC): em vez de apenas falsificar remetentes, criminosos agora operam dentro de contas de e-mail e calendário legítimas já comprometidas. A técnica batizada de "calendar warfare" usa criação ou exclusão de reuniões para manipular a percepção da vítima sobre prazos e autenticidade de solicitações financeiras, enquanto o controle direto da caixa de e-mail permite enviar instruções de pagamento como se fossem o próprio executivo e depois apagar os rastros.
O alerta, levantado por Douglas McKee, diretor de inteligência de vulnerabilidades da Rapid7, não descreve um incidente isolado, mas uma tendência observada em ataques de comprometimento de e-mail corporativo (BEC) que já deixaram de depender apenas de domínios falsificados ou e-mails com erros de digitação. O ponto central é que o atacante passa a operar dentro de ferramentas e contas em que a vítima já confia, o que torna a fraude muito mais difícil de detectar tanto por filtros técnicos quanto pela percepção humana.
A técnica de "calendar warfare" explora o fato de que convites de calendário podem ser criados, alterados ou excluídos sem gerar o mesmo rastro de notificação que um e-mail suspeito geraria. Um atacante pode remover reuniões legítimas para confundir a vítima sobre prazos e compromissos, ou inserir um convite falso — por exemplo, uma "reunião de emergência do conselho" com um link de videoconferência malicioso — que parece ter sido agendado dias antes, reduzindo a desconfiança natural que existiria diante de um e-mail recém-chegado. Em paralelo, quando o atacante consegue controle efetivo de uma caixa de e-mail real (via phishing de credenciais, sequestro de sessão ou token OAuth), ele pode enviar instruções de pagamento como se fosse o CFO ou outro executivo, sem nunca precisar da senha dele, e depois apagar os e-mails enviados para ocultar o rastro — criando um efeito de "gaslighting" em que a própria vítima original passa a duvidar se não autorizou a transação.
O que torna esse padrão particularmente perigoso é que ele neutraliza as defesas tradicionais contra BEC baseadas em autenticação de domínio (SPF, DKIM, DMARC) e em treinamento para identificar remetentes suspeitos: como o tráfego parte de uma conta e de uma infraestrutura legítimas, os indicadores técnicos clássicos aparecem limpos. A fraude se move do campo da falsificação de identidade para o campo do abuso de acesso já autenticado, exigindo que a detecção se desloque de "quem enviou" para "o que está sendo feito de forma anômala dentro da conta".
Na prática, a defesa precisa combinar controles técnicos e processuais: MFA resistente a phishing e revisão de permissões de aplicativos OAuth conectados a e-mail e calendário; monitoramento de anomalias como criação/exclusão em massa de eventos de calendário, alterações de regras de caixa de entrada e exclusões no histórico de itens enviados; e, mais importante, verificação fora de banda (uma ligação para um número já conhecido, não o que consta no convite ou e-mail) para qualquer mudança de dados bancários ou solicitação de transferência, independentemente de a mensagem parecer vir de uma fonte interna legítima. Empresas que dependem de aprovação única para pagamentos de alto valor estão especialmente expostas a esse tipo de fraude.