Um estudo acadêmico descreve um método de captura, via Core NFC no iOS, do número da conta primária (PAN) e da validade de cartões de pagamento contactless dos sistemas PRO100, HUMO e UZCARD — usados na Rússia e no Uzbequistão, mercados sem suporte oficial ao Apple Pay. Os autores deixam claro que a técnica apenas lê e extrai dados de registro do cartão, sem emular o cartão, autorizar pagamentos ou provar posse, mas o PAN e a validade capturados são justamente os dados centrais explorados em fraude de cartão not-present.
Pesquisadores entrevistaram 17 voluntários que praticam "scambaiting" — a prática de se passar por vítima para investigar, expor e desperdiçar o tempo de golpistas de Technical Support Scams (TSS), o golpe da falsa central de suporte técnico. O estudo, aceito na ACM CCS 2026, conclui que essa comunidade acumula conhecimento operacional sobre os golpistas que frequentemente falta à própria pesquisa acadêmica sobre o tema, mas carece de suporte estruturado.
Um novo ataque de inferência visual usa a câmera dos óculos inteligentes Meta Ray-Ban para observar a digitação de senhas em teclados de smartphone e reconstruir a senha combinando análise de movimento de dedo com estatística de 2,19 bilhões de senhas vazadas. Em testes com usuários, senhas de até 16 caracteres escolhidas por humanos foram quebradas em horas a dias, e senhas de gerenciador de senhas de até 13 caracteres em menos de uma hora com GPU comum.
Infostealers como RedLine, Lumma e Vidar coletam de máquinas infectadas muito mais do que senhas salvas: cookies de sessão, dados de preenchimento automático, carteiras de cripto e chaves SSH, tudo revendido em pacotes chamados de logs. O artigo (baseado em orientação da empresa Flare) explica que um cookie de sessão roubado pode permitir que o atacante reproduza o login já autenticado, pulando completamente a etapa de MFA, e propõe um fluxo de priorização e resposta para equipes de segurança.
A Kaspersky publicou um guia sobre os sinais que denunciam lojas e sites fraudulentos mesmo quando o navegador não exibe nenhum alerta de segurança, já que o cadeado HTTPS só garante criptografia da conexão, não a idoneidade de quem está do outro lado. O texto lista táticas de pressão psicológica (contadores regressivos, estoque "quase esgotado"), sinais visuais de amadorismo e categorias comuns de golpe, da loja que nunca entrega ao golpe de investimento em cripto.
Pesquisadores desenvolveram um sistema que combina um detector YOLOv8 ajustado com um modelo de visão e linguagem (VLM) para resolver CAPTCHAs visuais a partir apenas de capturas de tela, sem automação de navegador, atingindo 85,4% de acurácia em 16 classes de desafios. O diferencial é que cada resposta do VLM vira automaticamente um rótulo de treino, permitindo que o detector absorva novas categorias de CAPTCHA após um ou dois encontros e se recupere sozinho quando os operadores tentam neutralizá-lo com perturbações adversariais. Isso derruba a premissa comum de defesa antifraude de que 'um bot que falha continua falhando'.
Um novo artigo acadêmico apresenta o UiAs, sistema que combina ondas mmWave e acústicas para distinguir um rosto vivo de uma máscara 3D de alta fidelidade durante autenticação facial, alcançando 93,25% de acurácia mesmo com usuários nunca vistos no treinamento. A proposta ataca diretamente o problema de spoofing físico em verificação facial, tecnologia usada em KYC remoto e abertura de conta digital.
Um estudo acadêmico apresenta o TaintedPixels, método que injeta perturbações imperceptíveis no canal azul de vídeos com rostos, permanecendo invisíveis no conteúdo original mas se tornando evidentes assim que uma ferramenta de manipulação facial processa o material. Em testes contra três ferramentas comerciais de deepfake, os vídeos falsificados a partir de fontes protegidas foram identificados como fraudulentos por observadores em 90,72% dos casos, contra 56,71% em vídeos sem proteção. A proposta é pensada para ser aplicada antes da publicação, funcionando como uma espécie de vacina contra o uso do material em golpes de personificação por vídeo.
Um estudo propõe um protocolo de liquidação interbancária para CBDC (moeda digital de banco central) em redes Ethereum permissionadas que mantém a instituição pagadora publicamente identificável para fins de conformidade, mas oculta criptograficamente o destinatário, o valor e o conteúdo da transação. Testado em uma rede de cinco nós com bancos comerciais, banco central e depositária de valores, o sistema liquida transações em 8 a 16 segundos, com verificação de prova em cerca de 1 milissegundo. O modelo de 'anonimato relaxado' é desenhado especificamente para permitir rastreabilidade regulatória de AML/CFT sem expor fluxos financeiros bilaterais sensíveis a todos os participantes da rede.
Pesquisadores da Malwarebytes identificaram uma técnica em que criminosos enviam SMS inofensivos, como se fossem destinados a outra pessoa, para descobrir quais números respondem e quem tem perfil colaborativo. Quem responde "você errou o número" acaba sinalizando aos golpistas que a linha está ativa e que a pessoa é solícita, virando alvo prioritário para fraudes futuras.
Um artigo da ESET (WeLiveSecurity) descreve como ferramentas de inteligência artificial eliminaram a barreira técnica que antes limitava o reconhecimento detalhado de vítimas a criminosos mais sofisticados. Hoje, a IA consegue cruzar em minutos fotos, publicações e conexões espalhadas em redes sociais para montar perfis completos, usados tanto em phishing altamente personalizado quanto na criação de deepfakes para extorsão e golpes de sextorsão.
Pesquisadores testaram, em estudo de laboratório com 12 participantes, todas as 25 combinações possíveis entre cinco tipos de engenharia social (phishing, spear-phishing, vishing, smishing e pop-ups) e cinco fatores psicológicos (autoridade, confiança, ganância, curiosidade e um quinto fator), medindo qual combinação convence mais. A mais eficaz foi spear-phishing explorando ganância; pop-ups com autoridade, smishing com autoridade e vishing com curiosidade não convenceram ninguém.
Entre novembro de 2025 e junho de 2026, a Operação Jackal IV da INTERPOL resultou em 58 prisões e na identificação de 263 suspeitos ligados a redes de crime organizado da África Ocidental, incluindo grupos como o Black Axe. A investigação rastreou o fluxo do dinheiro — contas laranja, empresas de fachada e serviços de lavagem terceirizados — usado para escoar lucros de golpes românticos, fraude cripto, investimentos falsos e sextortion, com apreensões que somaram dezenas de milhões de euros só na Romênia.
Pesquisadores da Universidade Ben Gurion, liderados por Yisroel Mirsky, compararam conversas conduzidas por chatbots de IA com as de golpistas humanos reais na fase de construção de confiança do "pig butchering" e descobriram que a IA foi surpreendentemente eficaz — em algumas medidas, mais convincente que os próprios golpistas humanos. Antes de serem avisados, quase nenhum participante suspeitou de estar conversando com uma IA.
Um relatório da seguradora cibernética Resilience mostra que perdas ligadas a phishing, engenharia social e fraude de transferência saltaram de 17,7% dos sinistros pagos no primeiro semestre de 2024 para 85,3% no mesmo período de 2026 — o maior salto registrado em cinco anos de comparações da empresa. O CISO da Resilience recomenda ampliar simulações de ataque para voz, SMS e ferramentas de colaboração, não só e-mail.
A Consumer Federation of America estima que consumidores nos EUA perderam US$ 148 bilhões em golpes no último ano, um salto de 22% sobre 2024 — muito acima dos US$ 20,8 bilhões oficialmente registrados pelo FBI IC3. Golpes envolvendo criptomoedas respondem por mais da metade das perdas relatadas, com idosos como o grupo mais visado e prejuízo médio de US$ 38.500 por vítima. O relatório aponta a subnotificação, estimada em 7,1 vezes os números oficiais, como a principal razão da distância entre estatística oficial e realidade.
A CrowdStrike registrou aumento de 2 vezes em intrusões via vishing (phishing por voz) e de 15 vezes em ataques de "device code phishing" nos últimos seis meses. Em ambos os casos, o criminoso engana a vítima por telefone ou por um fluxo de login legítimo baseado em OAuth para obter acesso a contas corporativas sem precisar quebrar senha ou autenticação multifator. Grupos rastreados como CORDIAL SPIDER e SNARKY SPIDER já conseguem roubar dados em menos de cinco minutos após o primeiro contato com a vítima.
Um estudo comparou a capacidade de 82 profissionais de TI e seis detectores automáticos de identificar áudio gerado por três gerações de sintetizadores de voz (2019, 2022 e 2024). A precisão de detecção despencou de cerca de 90% nos sintetizadores antigos para 48% no ElevenLabs, mesmo com os ouvintes avisados da presença de deepfakes, e caiu para apenas 9% de acerto estrito quando somente uma frase de um áudio era sintética.
Pesquisadores mostraram que a simples presença de dados sensíveis — senhas, histórico médico, dados financeiros — no contexto de um modelo de linguagem pode vazar de forma sutil em respostas aparentemente inofensivas, mesmo quando o modelo se recusa a revelar a informação diretamente. Usando um classificador treinado e um adversário treinado por reforço, os autores conseguiram extrair números completos de Social Security Number (equivalente ao CPF nos EUA) de um agente em estilo produção, e descobriram que modelos mais capazes vazam mais, não menos.
Um estudo em larga escala testou a suscetibilidade de adultos americanos a golpes de vishing (phishing por voz) gerados por seis modelos de síntese de voz de ponta, incluindo ElevenLabs e Gemini, comparando com vozes humanas reais em cinco categorias de golpe. A taxa de adesão às solicitações fraudulentas chegou a 36% no cenário "parente em apuros" e 16,5% em média entre todas as categorias, com o modelo Sesame alcançando persuasão equivalente ou até superior à de vozes humanas.
A Group-IB detalha a operação "CoinLure", uma fábrica industrializada de plataformas fraudulentas de investimento que já movimentou US$ 187 milhões usando 208 domínios e 23 templates compartilhados. O relatório argumenta que como o pagamento é sempre autorizado pela própria vítima, tentar bloquear a fraude na hora da transação chega tarde demais — a defesa eficaz está em mapear a infraestrutura compartilhada por trás de dezenas de plataformas aparentemente distintas.
O grupo Famous Chollima, ligado à Coreia do Norte, está se passando por recrutadores no LinkedIn (e também Discord, Telegram e email) oferecendo vagas remotas bem remuneradas para atrair candidatos a um processo seletivo falso. No fim do processo, a vítima é induzida por um pretexto técnico a colar comandos no terminal do próprio computador, instalando um RAT.
A Microsoft registrou cerca de 7,6 bilhões de ameaças de phishing por email no Q2 2026, com destaque para um ataque de Business Email Compromise automatizado que atingiu mais de 67 mil usuários em 42 mil organizações em menos de três horas. O relatório também aponta crescimento de 19% em ataques de phishing via Microsoft Teams entre março e abril, plataforma que tende a contornar filtros de segurança de email tradicionais.
Golpistas estão trocando links tradicionais por códigos QR em e-mails para escapar dos filtros antiphishing, já que a URL maliciosa fica codificada como imagem e não como texto analisável. A técnica empurra a vítima do ambiente corporativo, mais protegido, para o smartphone pessoal, onde há menos camadas de defesa, e é usada tanto para roubo de credenciais e tokens de MFA quanto para fraude financeira via aplicativos de pagamento com dados pré-preenchidos. O artigo cita que QR codes maliciosos já apareceram em cerca de 11% dos e-mails de phishing no primeiro semestre de 2026 e que o grupo Kimsuky já usou a tática em campanhas de espionagem.
Segundo relatório da Gen Digital para o primeiro semestre de 2026, golpes representaram 46% de todas as detecções de ameaças da empresa, com destaque para o crescimento de 387% em golpes de falsa autoridade (majoritariamente impersonação de governo nos EUA) e de 454% em golpes de falso parente, estes últimos já incorporando clonagem de voz por IA. Skimming de pagamento em checkouts também cresceu 212% no período.
Um relatório da Group-IB mostra que mais de um quarto dos valores desviados em fraudes financeiras já foi sacado ou movimentado 15 minutos após a transação fraudulenta, chegando a 53% em uma hora e mais de 85% em 24 horas. O documento argumenta que o modelo tradicional de resposta a fraude — abrir caso, escalar entre times, investigar por e-mail — foi desenhado para uma era de liquidação em dias e está estruturalmente incompatível com pagamentos instantâneos.
Uma pesquisa da Trustmi, divulgada pela KnowBe4, encontrou uma desconexão entre a confiança dos funcionários e sua real capacidade de identificar fraudes por engenharia social: 78% acreditam que reconheceriam uma solicitação de pagamento fraudulenta, mas 70% ainda apontam erros de digitação ou gramática como principal sinal de alerta — justamente o indicador que a IA generativa eliminou dos phishings modernos. O estudo reforça que o treinamento corporativo padrão está desatualizado frente a e-mails de phishing gerados por IA, que hoje chegam sem erros e com alta verossimilhança.
Um alerta consolidado do Departamento de Estado e do FBI descreve como esquemas de infiltração — ligados a operadores norte-coreanos de TI, mas replicáveis por qualquer fraudador — exploram lacunas entre etapas isoladas de contratação (checagem de identidade, entrega de equipamento, entrevista) para colocar uma pessoa fictícia numa vaga remota real. Cada verificação isolada passa no teste, mas nenhuma confirma que quem está logado no primeiro dia é a mesma pessoa entrevistada, o que exige combinar verificação documental com biometria de vivacidade (liveness) para fechar a lacuna.
A Kaspersky explica que as chamadas silenciosas — em que ninguém fala do outro lado e a ligação cai logo em seguida — não são erro técnico, mas parte de um pipeline automatizado de discagem em massa (robocalling) que testa números ativos e coleta amostras de voz e dados demográficos para clonagem de voz e priorização de alvos. Os poucos segundos de áudio captados no 'alô' já bastam para estimar sotaque, idade, gênero e horário de disponibilidade, informações usadas depois em golpes de vishing e deepfake de voz.
A reportagem argumenta que a inteligência artificial generativa não criou novas fraquezas psicológicas exploradas por golpistas, mas reduziu drasticamente o custo e o tempo necessários para montar ataques de engenharia social convincentes. Exemplos citados incluem phishing sem erros gramaticais gerado em segundos, clonagem de voz em chamadas para reforçar pedidos fraudulentos e perfis falsos no LinkedIn usados como pretexto antes de contatar o suporte técnico. As recomendações de defesa giram em torno de verificação fora de banda e dupla autorização para pagamentos e mudanças administrativas sensíveis.
A Kaspersky lançou no Secure Mail Gateway (KSMG 3.1) uma camada de detecção voltada especificamente para e-mails de Business Email Compromise redigidos por modelos de linguagem, combinando análise estatística do padrão de escrita típico de LLMs com reconhecimento de frases-chave associadas a golpes de BEC. A cobertura multilíngue (oito idiomas, incluindo português) responde ao fato de que textos gerados por IA eliminam os erros gramaticais que antes serviam como pista para funcionários identificarem e-mails fraudulentos. É um movimento defensivo direto contra a profissionalização do BEC assistido por IA.
Uma investigação da Flare em milhares de posts de fóruns underground mostra como o RAT Android BTMOB, antes vendido por uma única operação, virou um mercado disputado por revendedores, vendedores de código-fonte e cópias piratas mais baratas. O malware combina controle remoto do smartphone com kits de phishing e roubo de credenciais, reduzindo a barreira técnica para criminosos aplicarem fraude bancária móvel em escala.
Pesquisadores identificaram e nomearam o 'transaction simulation phishing', técnica que usa contratos inteligentes programados para exibir um resultado benigno na simulação da wallet, mas desviar os fundos na execução real na blockchain. Entre agosto de 2024 e junho de 2025 foram encontrados mais de 4.000 contratos maliciosos, responsáveis por 5.700 vítimas e cerca de US$ 3,48 milhões em prejuízo, majoritariamente na Ethereum.
O relatório de ameaças da ESET para o primeiro semestre de 2026 aponta nível recorde de 'quishing' — phishing via QR code — e mais que a duplicação de ataques ClickFix, técnica que engana a vítima com falsas telas de erro para que ela mesma execute comandos maliciosos. Ambas as técnicas miram diretamente o usuário final, deslocando a interação para o celular e explorando a confiança implícita das pessoas em códigos QR e mensagens de sistema.
Um artigo científico apresenta o DeepScrub, framework que combina aprendizado por reforço e LLMs para detectar fraude de "pedidos falsos" em plataformas online-to-offline, produzindo não apenas uma decisão mas uma cadeia de raciocínio auditável. Em piloto real de quatro semanas, o sistema atingiu 91,8% de precisão e 88,5% de recall, superando revisores humanos de primeira linha e reduzindo em 94% o volume de revisão manual.
Um novo artigo acadêmico (arXiv, cs.CR) analisa a segurança de plataformas de comércio agentico — sistemas que dão a agentes de IA autonomia para descobrir serviços, mover pagamentos e usar credenciais em nome do usuário. Os autores identificam 33 vulnerabilidades estruturais no protocolo entre agentes e serviços de comércio em três plataformas líderes, com taxa de sucesso de ataque de 100% independentemente do modelo de IA usado. Três dessas falhas se encadeiam em um ataque completo de sequestro de pagamento, e o paper propõe o framework PCAT como defesa na camada de protocolo.
Um novo artigo científico propõe uma infraestrutura de auditoria à prova de violação para o comércio "agêntico" — transações iniciadas por agentes de IA —, combinando árvores de Merkle e ancoragem em blockchain para registrar eventos de forma verificável entre empresas diferentes. O ponto central para antifraude é um "marcador de fraude" assinado criptograficamente que vincula rótulos de risco a evidências imutáveis, criando uma cadeia de proveniência que não pode ser reescrita depois do fato.
Pesquisadores da Unit 42 (Palo Alto Networks) documentaram a técnica "phantom squatting": criminosos monitoram quais URLs modelos de IA costumam inventar ao responder perguntas e registram esses domínios inexistentes antes de qualquer outra pessoa, transformando-os em armadilhas de phishing. Como usuários tendem a confiar em links sugeridos por assistentes de IA, o golpe contorna filtros de e-mail e reputação que dependem de o usuário clicar em algo suspeito.
Pesquisadores compararam um classificador clássico (TF-IDF + regressão logística) com um modelo DistilBERT ajustado, treinados em mais de 82 mil e-mails de seis bases públicas, para detectar phishing. Ambos superaram 98% de acurácia em dados limpos, mas despencaram para cerca de 64% quando testados contra e-mails de phishing deliberadamente alterados para escapar da detecção — queda de mais de 34 pontos percentuais em ambos os modelos. O estudo reforça que acurácia em dados de teste "limpos" não prevê robustez real contra atacantes adaptativos.
Um novo método usa material oficial de agências de defesa do consumidor para avaliar, de forma semi-automatizada, se LLMs como Gemini e GPT conseguem identificar de forma consistente narrativas de roubo de identidade e impostor scams (golpes de falsa identidade). A técnica gera variações do mesmo caso relatado e observa se o modelo responde de forma instável — sinal de que ele não entende o padrão do golpe, apenas reconhece palavras-chave superficiais. Os autores mostram que é possível distinguir modelos com conhecimento consistente sobre esses dois temas dos que falham em identificar o golpe corretamente.
Uma análise da Flare sobre 2.889 postagens em fóruns criminosos mostra que proxies residenciais isolados já não bastam para burlar antifraude: fraudadores agora combinam IPs com histórico limpo a navegadores antidetecção, perfis de dispositivo e dados de cobrança coerentes para parecer um cliente legítimo. O material serve como alerta direto para times de risco sobre quais sinais de consistência (e inconsistência) observar.
A KnowBe4 relatou que o ClickFix — a técnica que faz a própria vítima copiar e executar um comando malicioso a partir de um falso erro ou CAPTCHA — se tornou o vetor de entrega de malware mais usado, contornando controles de endpoint.
A Group-IB descreveu um esquema de venda de ingressos falsos que combina abordagem por redes sociais e sites que imitam distribuidoras oficiais para roubar dados de pagamento de fãs em busca de shows concorridos.
A Kaspersky detalhou as táticas de manipulação psicológica que golpistas usam para desligar o pensamento crítico da vítima — do medo à urgência artificial — e como reconhecê-las a tempo.
Pesquisadores encontraram um cluster Elasticsearch aberto com cerca de 24 bilhões de registros — usuários, e-mails e, em muitos casos, senhas em texto puro — reunidos de vazamentos antigos e coletas ativas de infostealers.
Levantamento da Group-IB cataloga as dez modalidades mais recorrentes de fraude envolvendo criptoativos, do clássico "pig butchering" a esquemas de airdrop falso e malware "wallet drainer". O relatório mostra como golpes que combinam engenharia social com deepfakes gerados por IA já rendem em média US$ 3,2 milhões por operação e propõe controles comportamentais para instituições financeiras.
Análise da Group-IB mostra que lojistas online seguem aprovando transações com cartões já comprometidos porque ficam fora dos sistemas de alerta (CAMS/SAFE) que bancos usam entre si, descobrindo a fraude só no chargeback. Com mais de 200 milhões de cartões circulando em mercados underground e US$ 50 bilhões em perdas anuais projetadas, o texto detalha as barreiras regulatórias que impedem o compartilhamento de dados e propõe verificação tokenizada pré-autorização como saída.
Análise de tendências de 2026 detalha como identidades sintéticas e deepfakes contornam a verificação de identidade no onboarding digital, e por que checagens passivas já não bastam.
Guia da Group-IB detalha como a fraude de pagamento se manifesta em cada etapa da jornada do cliente — criação de conta, login e checkout — e que controles antifraude (device intelligence, biometria comportamental, machine learning) reduzem perdas sem prejudicar a experiência do usuário legítimo. O documento cobre desde cartões roubados até golpes de "authorized push payment", nos quais a própria vítima é induzida a autorizar a transferência.
Em entrevista à Group-IB, a especialista Sarah Psaila argumenta que a fraude no setor de iGaming — sobretudo abuso de bônus e contas múltiplas coordenadas — já não aparece só como perda direta, mas como distorção silenciosa de métricas de aquisição e fidelidade que levam operadores a tomar decisões de marketing equivocadas. O abuso de bônus sozinho responde por mais de 60% da fraude no setor e pode consumir até 15% da receita anual.