Dados vazados de fornecedores viram matéria-prima para golpes de engenharia social hiperdirecionados na Europa
Uma análise sobre a aplicação prática da diretiva europeia NIS2 mostra como dados roubados de fornecedores e parceiros de cadeia de suprimentos estão sendo reaproveitados para montar ataques de phishing e vishing extremamente convincentes contra funcionários de empresas maiores. Entre os exemplos citados está uma campanha de nove meses contra empresas de logística e frete que comprometeu mais de 1.600 credenciais, além do vazamento da base de bilhetes da Trenitalia na Itália. O ponto central é que dados operacionais reais tornam a isca quase indistinguível de uma comunicação legítima.
O texto parte de casos documentados — uma campanha ativa entre setembro de 2025 e fevereiro de 2026 contra o setor de logística e frete, com mais de 1.600 credenciais comprometidas, e o vazamento da base de dados de bilhetes da Trenitalia — para discutir uma lacuna estrutural na forma como empresas europeias respondem a incidentes em terceiros sob a diretiva NIS2. A ideia central é que o encerramento formal da fase de contenção de um fornecedor comprometido não encerra o risco: os dados exfiltrados continuam circulando e sendo reaproveitados meses depois.
O mecanismo por trás desses ataques é relativamente simples de entender, mas difícil de neutralizar: ao obter registros reais de clientes, pacientes ou parceiros operacionais de um fornecedor, o atacante consegue montar mensagens de phishing e, principalmente, ligações de vishing que citam detalhes corretos — número de pedido, histórico de viagem, nome de contato interno — que normalmente serviriam como sinal de legitimidade para quem recebe a comunicação. O artigo também menciona a interceptação de MFA em tempo real, técnica em que o golpista, já em contato com a vítima por telefone ou chat, pede que ela repasse o código de autenticação recebido por SMS ou aplicativo no exato momento em que tenta autenticar-se com as credenciais roubadas.
Esse tipo de ataque é especialmente eficaz contra o elo humano mais fraco da cadeia — normalmente funcionários de atendimento, financeiro ou suporte que lidam com um grande volume de contatos externos e não têm como verificar manualmente cada detalhe citado. Como os dados usados na abordagem são verdadeiros, o ceticismo natural de quem recebe um pedido estranho cai bastante, o que explica por que campanhas baseadas em vazamentos de terceiros tendem a ter taxas de sucesso maiores que o phishing genérico.
Como medida prática de defesa, a análise aponta a necessidade de tratar vazamentos de fornecedores como um risco de longa duração, não um evento pontual: isso inclui monitoramento contínuo de credenciais expostas em fóruns e marketplaces, verificação fora de banda (por canal diferente do usado no contato suspeito) para qualquer solicitação sensível que cite dados operacionais específicos, segmentação de acesso de parceiros terceirizados e programas de treinamento recorrente — não apenas pontual — para reconhecer vishing e tentativas de interceptação de MFA, conforme os próprios requisitos de capacitação previstos na NIS2.