Estudo mapeia cluster de phishing de 3 anos contra universidades alemãs usando infraestrutura das próprias vítimas
Um estudo acadêmico documentou um cluster de phishing ativo por mais de três anos que visou 93 universidades, 58 delas (62%) na Alemanha — cerca de 14% de todas as instituições do país. A particularidade técnica do grupo é enviar os e-mails de phishing a partir da própria infraestrutura universitária comprometida, usando credenciais válidas de funcionários e túneis de VPN institucional, o que torna as mensagens muito mais difíceis de identificar como fraudulentas.
Pesquisadores documentaram, entre fevereiro de 2022 e fevereiro de 2023, 25 ciberataques confirmados com impacto mensurável contra universidades de países de língua alemã — cerca de 5% de todas as instituições do bloco no período. Dentro desse panorama, o estudo isola e caracteriza um cluster de phishing específico, ativo por mais de três anos, que mirou 93 universidades, das quais 58 (62%) são alemãs, representando aproximadamente 14% do total de 423 universidades do país.
O que torna esse cluster tecnicamente relevante — e mais perigoso do que phishing comum — é o vetor de distribuição: em vez de enviar e-mails a partir de domínios falsos ou infraestrutura externa, os atacantes disparavam as mensagens de phishing usando a própria infraestrutura de e-mail da universidade, autenticando-se com credenciais válidas, mas comprometidas, de funcionários e pessoal associado, e roteando o tráfego por túneis de VPN institucional. Esse método tem duplo efeito: primeiro, confere legitimidade técnica real ao e-mail (ele é enviado de dentro do domínio institucional, passa por verificações de SPF/DKIM/DMARC porque é literalmente originado no servidor legítimo); segundo, dificulta a atribuição e a detecção por filtros de reputação de IP, já que o tráfego malicioso se mistura ao tráfego legítimo da própria rede universitária.
Isso configura um ciclo autossustentável de comprometimento: credenciais roubadas de um membro da universidade são usadas para enviar phishing a outros membros (da mesma instituição ou de outras universidades parceiras/parecidas), que por sua vez têm suas credenciais roubadas e realimentam a campanha. É o mesmo princípio por trás de ataques de 'credential reuse em cadeia' observados em outros setores (ex.: fornecedores atacando clientes com e-mails 'internos'), mas aplicado ao ecossistema acadêmico, que tende a ter menor maturidade de segurança e maior interconectividade de confiança entre instituições do que o setor corporativo.
Para defesa, o estudo reforça pontos práticos: autenticação multifator obrigatória para acesso a VPN institucional e webmail (que neutraliza boa parte do valor de uma credencial roubada), segmentação e monitoramento de uso anômalo de VPN (geolocalização, horário, volume de envio de e-mail incomum para uma conta de funcionário), e correlação entre alertas de múltiplas instituições — já que o cluster reaparece em dezenas de universidades ao longo de anos, compartilhar indicadores de comprometimento entre instituições acadêmicas (como ocorre em CSIRTs setoriais) é mais eficaz do que cada universidade investigar isoladamente.
O caso é um recordatório de que, quando o canal de distribuição do phishing é a própria infraestrutura confiável da vítima, os controles tradicionais baseados em reputação de domínio/IP perdem eficácia, e a defesa precisa se deslocar para autenticação forte, monitoramento comportamental de contas internas e compartilhamento de inteligência entre organizações do mesmo setor.