Seleção de notícias sobre fraude digital, com resumo em português escrito pela redação e link para a matéria original.
A Microsoft anunciou que o Teams passará a usar um modelo de IA para analisar o contexto de conversas e identificar tentativas de phishing, engenharia social e personificação, com foco inicial em chats de primeiro contato com usuários externos. O recurso entra em lançamento direcionado em novembro de 2026 e deve chegar à disponibilidade geral em dezembro, sem exigir ação dos administradores.
Fonte ↗O framework acadêmico PhishGen testou 14 modelos de linguagem — comerciais, open source e 'sem censura' — na geração de páginas de phishing completas, comparando o resultado contra 64 kits de phishing reais usados por criminosos. O achado central é contraintuitivo: modelos comerciais de ponta como GPT-4.1 produzem páginas de coleta de credenciais funcionais com taxa de sucesso (86-94%) maior do que os modelos 'sem censura' geralmente apontados como maior ameaça (abaixo de 45%).
Fonte ↗Pesquisadores apresentam o TokenTrap, uma defesa que, ao identificar um sistema de golpe baseado em LLM (chatbots de fraude com diálogo adaptativo e coordenação multiagente), o redireciona para tarefas computacionais inúteis em vez de bloqueá-lo de imediato. A técnica multiplicou o consumo de tokens do sistema golpista em até 2.487 vezes, elevando diretamente o custo de operação do golpe.
Fonte ↗O framework MIG-COW consegue enganar detectores de deepfake em quase 100% dos casos quando o atacante conhece o modelo de detecção (cenário white-box), mas essa taxa despenca para apenas 7% contra sistemas de detecção reais e desconhecidos (black-box). O resultado é uma boa notícia relativa para quem usa deepfake e clonagem de voz como ferramenta antifraude: a fragilidade dos detectores demonstrada em laboratório não se transfere facilmente para ambientes de produção.
Fonte ↗Pesquisadores da Malwarebytes alertam que o uso de IA para automatizar candidaturas de emprego está deixando candidatos mais vulneráveis a golpes. Quando o processo é automatizado, o candidato perde o controle sobre onde se candidatou, o que torna mensagens de recrutadores falsos mais plausíveis. Os golpistas exploram essa confusão com aplicativos de entrevista maliciosos, convites falsos de agendamento e pedidos de pagamento antecipado.
Fonte ↗A Operação Serengeti III, coordenada pela Interpol entre junho e agosto de 2026 em 21 países africanos, prendeu 1.462 suspeitos e desmantelou 10.909 redes criminosas ligadas a BEC, golpes de investimento e aposentadoria, apps de empréstimo fraudulentos e mineração ilegal de criptomoedas. Foram recuperados US$ 105 milhões e identificadas quase 66 mil vítimas, com perdas estimadas em US$ 385 milhões. Um caso na Nigéria envolveu um único operador de phishing/BEC que acumulou 2,1 milhões de endereços de e-mail roubados.
Fonte ↗Um artigo acadêmico testou 12 monitores de IA de código aberto e quatro modelos de ponta (Claude Opus 5.5, GPT-6 Astra, Gemini 4 Argon e DeepSeek-V3.2) atuando como aprovadores automáticos de pagamentos feitos por agentes de IA. Os autores mostram que, quando os monitores compartilham a mesma fonte de evidência ou o mesmo modelo-base, um único ataque bem-sucedido pode fazer todos aprovarem a mesma fraude simultaneamente, e que nenhuma regra de agregação testada sobrevive a todos os ataques no pior caso; contar fontes independentes em vez de “votos” de monitores reduziu bloqueios indevidos de 7,4% para 0,9% mantendo a mesma segurança.
Fonte ↗O Google está migrando a detecção de golpes do Chrome, para usuários com Proteção Aprimorada, de um modelo Gemini local para um modelo mais robusto baseado em servidor, que analisa marca impersonada, intenção da página e reputação de domínio. A novidade também passa a alertar quando o usuário copia um comando suspeito associado a ataques ClickFix, removendo dados identificáveis antes de consultar o Safe Browsing.
Fonte ↗A WeLiveSecurity (ESET) publicou um guia educativo sobre anúncios fraudulentos em redes sociais, que imitam marcas conhecidas, criam urgência artificial e usam deepfakes de celebridades para aplicar golpes de investimento, falsos alertas de segurança e lojas virtuais falsas. O texto reúne sinais de alerta e orientações práticas para identificar um anúncio malicioso antes de clicar nele.
Fonte ↗Pesquisadores propõem um detector forense que autentica vídeos a partir do zumbido da rede elétrica (ENF) captado no áudio e na cintilação de câmeras de obturador rolante, um sinal que geradores de IA não controlam diretamente. O sistema combina um estimador de ENF em áudio e vídeo com verificação contra uma referência de tempo e horário reivindicados, e usa uma orquestração agentica para só acionar detectores mais caros quando necessário. O achado central é contraintuitivo: a presença do padrão de ENF não basta como prova de autenticidade, porque vídeos gerados também podem exibi-lo; o que importa é a consistência com uma referência independente.
Fonte ↗O artigo descreve o ChainIT Authority Protocol, um esquema que gera evidência verificável e vinculada à transação de que quem está executando um pagamento — humano, organização ou agente de IA — realmente detém autoridade vigente para aquilo, sob as políticas, orçamento e aprovações em vigor no momento exato. A motivação central é o risco crescente de "comércio agentico": um agente de software pode assinar uma transação de forma criptograficamente válida mesmo agindo fora do que foi delegado, após mudança de política, ou com detalhes diferentes dos aprovados por um humano. O protocolo amarra cada decisão a um resumo canônico da transação e só libera a execução por meio de uma credencial de uso único consumida no adaptador do trilho de pagamento (ACH, TED/wire, cartão, pagamento instantâneo, stablecoin).
Fonte ↗O artigo propõe o ChainIT Provable Compliance, uma camada que transforma decisões de KYC, AML, sanções, PEP e verificação de identidade em registros assinados, com prazo de validade e rastreáveis até a evidência de origem que as sustentou. A motivação é que evidência de compliance envelhece e hoje é difícil provar, de forma compacta e auditável, que a decisão de aprovar um cliente ou uma transação ainda era válida no exato momento em que o pagamento foi liberado — problema que se agrava quando parte do processo é delegada a agentes de software e fluxos automatizados. O protocolo deixa explícito que uma decisão de compliance nunca autoriza pagamento por si só: só uma aprovação final combinada com o identificador exato da transação e uma credencial de execução de uso único pode liberar valor.
Fonte ↗Uma análise sobre a aplicação prática da diretiva europeia NIS2 mostra como dados roubados de fornecedores e parceiros de cadeia de suprimentos estão sendo reaproveitados para montar ataques de phishing e vishing extremamente convincentes contra funcionários de empresas maiores. Entre os exemplos citados está uma campanha de nove meses contra empresas de logística e frete que comprometeu mais de 1.600 credenciais, além do vazamento da base de bilhetes da Trenitalia na Itália. O ponto central é que dados operacionais reais tornam a isca quase indistinguível de uma comunicação legítima.
Fonte ↗Pesquisadores catalogaram doze ataques contra o fluxo de aprovação usado quando um agente de IA pede autorização humana antes de mover dinheiro, apagar arquivos ou contatar terceiros, incluindo troca do destinatário exibido, cancelamento de valor após a aprovação e fragmentação de limites. Testando os protocolos AP2, a abordagem da Microsoft e o MCP, a auditoria de dez runtimes de agentes encontrou ausência de registro de aprovação auditável por terceiros em todos eles e alteração de parâmetros após a aprovação em metade dos casos mensuráveis. Como defesa, os autores propõem o ASU (Agent Step-Up), que vincula criptograficamente o que é mostrado ao usuário ao que de fato é executado, reduzindo a taxa de sucesso de ataques simulados de 54% para 3%.
Fonte ↗O Google começou a distribuir para o Android novas defesas baseadas em IA contra mensagens fraudulentas, clonagem de voz e abuso de desvio de chamadas, já disponíveis para dispositivos elegíveis. O sistema combina análise em nuvem via Gemini para conversar com remetentes desconhecidos e um modelo Gemini Nano local que varre links suspeitos em tempo real. Uma camada adicional verifica se ligações que se apresentam como do banco realmente partiram da instituição, encerrando a chamada automaticamente quando a verificação falha.
Fonte ↗Uma pesquisa da Consumer Reports mostra que 91% dos americanos já foram alvo de algum golpe e 17% efetivamente perderam algo para um deles. O dado mais relevante é que 20% das vítimas relataram golpes personalizados com dados pessoais reais, chegando a 32% nas tentativas feitas por telefone, o que a entidade atribui ao uso combinado de dados vazados em brechas com ferramentas de IA generativa. As taxas de adoção de proteções básicas, como checar links antes de clicar ou usar autenticação multifator, ainda ficam bem abaixo de 100%.
Fonte ↗A empresa de segurança Island identificou uma campanha de phishing que se disfarça de plataforma de ferramentas de anúncios com inteligência artificial, usando identidade visual de Gemini, Claude, ChatGPT, Perplexity e Muse. O alvo são profissionais que administram contas de anúncios (agências e media buyers), e o golpe usa um navegador falso embutido para capturar senhas, dados do dispositivo e códigos de autenticação multifator em tempo real.
Fonte ↗O governo britânico sancionou a plataforma de cripto-pagamentos Cryptomus (que já operou como Certa Payments, Xeltox Enterprises e Heleket) por processar pagamentos que beneficiam o Estado russo e suas instituições financeiras. Firmas de blockchain intelligence apontam que a plataforma movimentou mais de US$ 7 bilhões desde 2022, servindo como ponte financeira para ransomware, mercados da darknet e outros serviços de cibercrime.
Fonte ↗Com o período de Open Enrollment do Medicare nos EUA (até 7 de dezembro), fraudadores aumentam ligações, SMS, e-mails e anúncios patrocinados falsos que imitam a agência oficial para roubar números de Medicare, Seguro Social, dados bancários e informações médicas. A tática central é criar urgência artificial em torno do prazo real, empurrando a vítima a agir sem verificar a autenticidade do contato.
Fonte ↗Um levantamento da KnowBe4 mostra que 22% dos ataques de phishing hoje abusam de plataformas SaaS confiáveis como DocuSign, Adobe Sign, Google Drive e QuickBooks para enviar notificações genuínas com links maliciosos embutidos. A técnica, chamada de 'Living Off Trusted Services' (LOTS), consegue atravessar filtros de e-mail justamente porque o remetente é legítimo, mesmo quando o conteúdo não é. De 544 mil e-mails de ameaça analisados, 53 mil usaram esse artifício, com DocuSign e QuickBooks somando dois terços do volume.
Fonte ↗Oleg Korniev, 42, confessou liderar operações da organização 'Your Mule Cashout' (YMCO), ativa desde 2007, que recrutava cidadãos americanos por e-mails de emprego falso para abrir contas bancárias usadas como mulas financeiras. A rede processou mais de US$ 10 milhões vindos de mais de 750 contas bancárias nos EUA, repassando o dinheiro via Western Union e MoneyGram para 'sacadores' na Moldávia, Ucrânia, Rússia e Letônia. O esquema está ligado a pelo menos US$ 14,7 milhões em perdas confirmadas de vítimas de fraude.
Fonte ↗Pesquisadores propuseram o CredLeakBench, um benchmark que mede se agentes baseados em LLM — usados para automatizar tarefas como e-mail, redes sociais e operações bancárias — entregam credenciais e dados sensíveis quando confrontados com phishing, inclusive quando monitoram a caixa de entrada de forma autônoma sem que o usuário tenha pedido login. O resultado: todos os modelos testados vazaram informação em algum grau, e as mitigações que reduzem o vazamento também prejudicam a capacidade do agente de cumprir tarefas legítimas.
Fonte ↗Criminosos se passam por marcas conhecidas (como Nike, Spotify e Hollyland) e oferecem parcerias pagas a criadores de conteúdo, levando-os a um site falso que imita uma plataforma profissional de colaborações. Ao autenticar com Google nesse site, a vítima tem a senha e o código de verificação capturados em tempo real, perde a conta e os golpistas trocam e-mail e telefone de recuperação para travar o acesso do dono original.
Fonte ↗Um artigo acadêmico apresenta o BVI, um sistema que usa um registro público (estilo blockchain) para permitir que uma ligação que afirma vir de um banco seja verificada criptograficamente pelo próprio aparelho do destinatário, sem custo de transação e sem exigir o estado completo da cadeia no celular. A proposta ataca diretamente o problema do vishing com voz clonada, que já eliminou o último sinal que as pessoas usavam para reconhecer uma ligação fraudulenta — o som da própria voz — e mostra em simulação que, mesmo com adoção parcial pelas operadoras, o sistema detecta uma fração relevante de adulterações no caminho da chamada que os esquemas ponto a ponto tradicionais não percebem.
Fonte ↗Pesquisadores da Rapid7 descrevem uma evolução nos ataques de Business Email Compromise (BEC): em vez de apenas falsificar remetentes, criminosos agora operam dentro de contas de e-mail e calendário legítimas já comprometidas. A técnica batizada de "calendar warfare" usa criação ou exclusão de reuniões para manipular a percepção da vítima sobre prazos e autenticidade de solicitações financeiras, enquanto o controle direto da caixa de e-mail permite enviar instruções de pagamento como se fossem o próprio executivo e depois apagar os rastros.
Fonte ↗Pesquisadores (Baser, Kale, Vishwanath e Chinchali) publicaram no arXiv o ModalFidelity, um método que decide, antes de rodar qualquer detector forense pesado, quais trechos de áudio e vídeo vale a pena analisar — reagindo à tendência de deepfakes que alteram só alguns segundos decisivos em vez do vídeo inteiro. No benchmark AV-Deepfake1M, o sistema analisa cerca de 20% das janelas do vídeo e ainda assim supera a precisão de pipelines que processam tudo, usando 15,9 vezes menos computação.
Fonte ↗Pesquisadores franceses (Millet, Valade, Gonnet e Msahli) propõem um pipeline de duas camadas para detectar adulteração de documentos PDF: uma triagem inicial de conformidade de formato e payloads maliciosos, seguida de um motor forense que cruza metadados, sobreposições visuais e consistência entre duas fontes de OCR, agregando tudo em um escore de risco interpretável. O método foi validado em certificados médicos reais de afastamento do trabalho — um tipo de documento comumente alvo de falsificação em fraudes de benefício e licença.
Fonte ↗Pesquisadores apresentam o Agentic Commerce Bench, um benchmark para medir fraude em agentes de IA que gastam dinheiro sem confirmação humana a cada ação. O trabalho mostra que grande parte do prejuízo não vem de falha de segurança clássica, mas de contrapartes legítimas que cobram mais do que deveriam, e que detectores atuais falham em 8 de 20 classes de fraude testadas.
Fonte ↗Uma pesquisa do Gartner mostra que 41% dos CISOs registraram ataques com deepfakes de áudio contra suas organizações no último ano, e 36% tiveram funcionários alvo de chamadas de vídeo manipuladas. O relatório reforça que a engenharia social continua sendo o núcleo desses ataques, com a IA generativa apenas potencializando técnicas já conhecidas de golpe.
Fonte ↗A ESET (WeLiveSecurity) descreve como golpistas montaram uma indústria paralela de 'saída de timeshare', prometendo liberar donos de contratos indesejados mediante pagamento antecipado. Boa parte das vítimas que perdem dinheiro nesse primeiro golpe é depois recontatada por uma segunda quadrilha que finge ser órgão governamental ou empresa de recuperação de fundos, cobrando uma nova taxa para 'reaver' o prejuízo — um clássico golpe de recuperação (recovery scam) em cima de outro golpe.
Fonte ↗A ESET descreve como o phishing moderno abandonou os sinais clássicos de fraude — erros de português/inglês, links óbvios — usando IA generativa para escrever mensagens convincentes e técnicas que abusam de fluxos legítimos de autenticação, como roubo de token OAuth sem disparar MFA. O artigo defende que a defesa precisa migrar do "identificar o e-mail ruim" para "detectar e conter rápido" quando a prevenção falha.
Fonte ↗Ardit Kutleshi, um dos operadores do marketplace de cibercrime Rydox, confessou culpa por lavagem de dinheiro e roubo de identidade agravado nos EUA. Entre 2016 e 2024, a plataforma vendeu mais de 7.600 lotes de credenciais roubadas, dados de cartão de crédito e informações pessoais, movimentando cerca de 321.000 “produtos” para mais de 18 mil usuários registrados. Kutleshi pode pegar até 20 anos de prisão, com sentença marcada para fevereiro de 2027.
Fonte ↗Pesquisadores da Universidade da Flórida e do Rochester Institute of Technology testaram 80 pessoas — ouvintes, com perda auditiva, surdas e usuárias de implante coclear — pedindo que julgassem a autenticidade de 30 vídeos com manipulações de voz e rosto. Participantes surdos e com deficiência auditiva tiveram precisão média de 76,4%, contra 88,0% dos ouvintes, principalmente por classificarem clipes autênticos como falsos com mais frequência. O achado expõe uma lacuna de proteção relevante para golpes com voz clonada e vídeo deepfake, que dependem justamente da capacidade humana de perceber pistas multimodais.
Fonte ↗Pesquisadores testaram como pequenas frases como "not-phishing" ou "official" inseridas no próprio nome de domínio alteram o julgamento de cinco LLMs sobre 64 marcas, em mais de 622 mil avaliações. Sem referência à marca legítima no prompt, termos de "aprovação" aumentaram os alertas de phishing em até 65,6 pontos percentuais, enquanto termos de "negação de risco" reduziram alertas em até 45,3 pontos — mesmo com uma salvaguarda básica comparando o domínio ao oficial. O achado é um alerta direto para qualquer produto antifraude que use LLMs para classificar URLs ou domínios suspeitos automaticamente.
Fonte ↗Um grupo de pesquisadores construiu um honeypot de voz ativo — números-isca inseridos nos mesmos canais de geração de leads que fraudadores telefônicos costumam explorar — atendido por um agente conversacional de IA que finge ser um alvo plausível. Em 53 dias, o sistema capturou 10.015 ligações recebidas, das quais 6.601 tiveram diálogo real, somando quase 900 horas de áudio; cerca de 1 em 7 chamadas substantivas foi classificada como golpe direto (949 casos), e o agente foi identificado como não-humano em apenas 5% das interações. O corpus resultante expõe, entre outras coisas, que detectores treinados só com diálogos sintéticos têm precisão baixa contra tráfego real de vishing.
Fonte ↗O ESET explica o roteiro clássico do golpe do caixa eletrônico de criptomoedas, que combina uma ligação de falsa autoridade (polícia, banco ou suporte técnico) com pressão psicológica para levar a vítima a sacar dinheiro e depositá-lo em um Bitcoin ATM. O passo final é sempre o mesmo: um QR code fornecido pelo golpista redireciona os fundos depositados diretamente para a carteira do criminoso, tornando a transação irreversível.
Fonte ↗O artigo acadêmico "Issuer-Sovereign Agentic Payments" propõe um modelo em que o banco emissor do cartão, não um provedor de credenciais terceirizado, decide em tempo real se autoriza um pagamento iniciado por um agente de IA. O titular aprova uma regra de gasto uma única vez, e a cada transação o banco valida o comerciante contra essa regra antes de gerar o código de autenticação do cartão. A proposta ataca diretamente um vetor de fraude emergente: agentes de IA comprometidos ou manipulados que tentam realizar compras não autorizadas em nome do usuário.
Fonte ↗Um novo artigo científico avalia o Neural Defend ARCAS 1B, modelo de detecção multimodal de deepfakes, propondo uma metodologia de benchmarking mais granular que vai além da métrica agregada tradicional. Os autores acrescentam medidas por registro, contabilização de cobertura e diagnóstico por subgrupo, mas alertam que os resultados não garantem robustez universal nem resistência a ataques adaptativos futuros — um alerta relevante para quem pensa em usar esses detectores em fluxos antifraude.
Fonte ↗Pesquisadores propuseram o COBRA, um sistema que classifica domínios como suspeitos assim que são registrados, analisando apenas padrões lexicais e estruturais do nome, sem depender de conteúdo (que ainda nem existe no domínio). Testado sobre 1,5 milhão de domínios reais, o framework atingiu 98,5% de precisão e identificou mais de 47 mil domínios suspeitos, detectando 80% deles antes de serviços de inteligência de ameaças amplamente usados no mercado.
Fonte ↗A ESET mapeou os principais golpes que exploram o desejo de jogadores, muitos deles crianças, por Robux gratuito: geradores falsos que roubam a conta em vez de gerar moeda, sorteios fraudulentos divulgados em YouTube, TikTok e Discord, páginas de phishing que imitam o login do Roblox e cartões-presente inexistentes. Todos seguem o mesmo padrão de engenharia social — prometer algo de valor em troca de credenciais ou dados pessoais.
Fonte ↗Um estudo acadêmico analisa o Address-Poisoning Transfer (APT), golpe cripto em que fraudadores geram transferências a partir de endereços parecidos com endereços legítimos que a vítima já usou, na expectativa de que ela copie o endereço errado num pagamento futuro. O artigo vai além da detecção: mapeia como os golpes são financiados, propõe cinco famílias de "assinaturas" para agrupar carteiras golpistas, e investiga pela primeira vez o uso do mixer Tornado Cash tanto para financiar as campanhas quanto para lavar os fundos roubados.
Fonte ↗Pesquisadores lancaram o APort Vault, benchmark que reproduz 4.371 ataques escritos por humanos durante uma competicao CTF publica contra um agente de pagamentos baseado em IA, testando 14 modelos de 8 laboratorios sob diferentes niveis de politica. Sem uma camada extra de verificacao, o agente autorizou 140 transferencias para destinatarios nao permitidos em quase 77 mil avaliacoes; com uma checagem deterministica de autorizacao antes da acao, especificada pelo Open Agent Passport (OAP), esse numero caiu a zero em mais de 69 mil avaliacoes, sem barrar nenhum pagamento legitimo.
Fonte ↗Pesquisadores desenvolveram o XSplicer, um sistema forense capaz de reconstruir o rastro de transações entre diferentes blockchains sem depender de acesso privilegiado às pontes (bridges), preenchendo uma lacuna que hoje dificulta investigações de lavagem de dinheiro em cripto. Aplicado a casos reais, a ferramenta recuperou mais de 1.900 transferências após o colapso da Multichain e identificou 754 transferências ilícitas somando US$ 105,6 milhões ligadas à lavagem do hack da Bybit.
Fonte ↗Um novo estudo mostra que modelos de visão computacional gratuitos e executados localmente conseguem resolver desafios do Google reCAPTCHA com taxa de sucesso de 92,6% por sessão, sem custo e sem treinamento específico. Isso derruba a barreira de habilidade técnica necessária para automatizar credential stuffing, criação em massa de contas falsas e outros abusos que o CAPTCHA deveria impedir.
Fonte ↗Pesquisadores da ESET mostram que ferramentas de IA generativa estão reduzindo drasticamente o tempo necessário para a etapa de reconhecimento em ataques de engenharia social direcionados. Com LLMs, atacantes conseguem varrer redes sociais e fontes públicas, montar perfis detalhados de vítimas e gerar mensagens de phishing altamente personalizadas, inclusive em idiomas que não dominam. O resultado é um golpe mais crível e escalável, reduzindo a barreira técnica para campanhas de spear phishing sofisticadas.
Fonte ↗Pesquisadores propoem uma camada de deteccao que analisa primeiro a distorcao agregada de uma distribuicao de resultados (avaliacoes, notas, rankings) antes de examinar identidades individuais, permitindo flagrar manipulacao coordenada mesmo quando as contas parecem plausiveis isoladamente. Testado em avaliacoes historicas da Amazon com contas sinteticas de coalizao conhecida, o metodo atingiu ROC-AUC de ate 0,967 para deteccao de distorcao de forma e 0,874 combinando evidencia agregada com sinais de co-atividade entre contas.
Fonte ↗Pesquisadores descrevem os ataques DEMI (Description-Execution Mismatch), nos quais um proponente malicioso submete a votacao de uma DAO uma proposta com descricao em linguagem natural benigna, enquanto o codigo efetivamente executado transfere fundos ou toma o controle do protocolo. O framework de deteccao proposto simula o ciclo de governanca de cada DAO a partir do historico on-chain e usa um LLM para mapear evidencias textuais por acao, atingindo 81,7% de precisao media e 98,3% de recall em propostas reais do Ethereum.
Fonte ↗Pesquisadores descrevem o "slop squatting", tecnica em que criminosos monitoram alucinacoes de LLMs (dominios ou pacotes inexistentes sugeridos por assistentes de IA) e registram esses enderecos para hospedar paginas de phishing. Como varios usuarios recebem a mesma resposta fabricada para perguntas parecidas, um unico dominio malicioso pode capturar um volume relevante de vitimas que confiam cegamente na sugestao da IA.
Fonte ↗Um estudo acadêmico mapeou por um ano o ecossistema de Single Sign-On baseado em operadoras de celular (MSSO), analisando mais de 116 mil URLs em 729 domínios, e encontrou falhas de confiança em 73,6% delas. Os pesquisadores demonstraram o ataque "One-Click-to-Leak": basta a vítima abrir uma página maliciosa para que seu número de telefone seja vazado sem qualquer consentimento explícito. Ao rastrear uma plataforma que monetizava esses vazamentos, os autores encontraram um serviço que coletou 14,1 mil números de telefone em apenas três dias antes de ser apreendido por autoridades, evidência de um mercado underground já estruturado em torno desse tipo de dado.
Fonte ↗Uma pesquisa da Experian mostra que 60% das empresas relatam perdas por fraude maiores que em anos anteriores, com phishing gerado por IA citado por 53% dos respondentes como principal preocupação, à frente de fraude de primeira parte assistida por IA (51%), documentos falsificados por IA (45%) e deepfakes de voz/imagem (37%/35%). O estudo também mede a consciência do consumidor sobre esses golpes, que ainda fica abaixo da prevalência real das técnicas.
Fonte ↗