O grupo GoldFactory está distribuindo o trojan bancário Android Gigabud em conjunto com o Vwork, uma versão modificada do clonador de aplicativos open-source Shelter, para clonar apps bancários legítimos em um perfil isolado do sistema e executar transações fraudulentas sem levantar suspeita. A campanha já comprometeu mais de 1.400 dispositivos na Indonésia, com perdas próximas de US$ 961 mil entre fevereiro e julho de 2026, e também atinge Brasil, Colômbia, México e outros países.
Um novo ataque de inferência visual usa a câmera dos óculos inteligentes Meta Ray-Ban para observar a digitação de senhas em teclados de smartphone e reconstruir a senha combinando análise de movimento de dedo com estatística de 2,19 bilhões de senhas vazadas. Em testes com usuários, senhas de até 16 caracteres escolhidas por humanos foram quebradas em horas a dias, e senhas de gerenciador de senhas de até 13 caracteres em menos de uma hora com GPU comum.
Pesquisadores da ZeroBEC identificaram uma atualização significativa no kit de phishing-as-a-service Greatness, que agora combina ataques adversary-in-the-middle (AiTM) com roubo de token de sessão e phishing de código de dispositivo, mirando contas corporativas do Microsoft 365, Google Workspace, iCloud e Yahoo. A evolução torna o kit capaz de contornar autenticação multifator tradicional, ampliando o risco para organizações que dependem apenas de MFA baseado em senha temporária.
Um serviço de roubo de identidade chamado Nexus apareceu na dark web em 1º de setembro oferecendo busca em mais de 153 milhões de carteiras de habilitação dos EUA e Canadá, além de carteiras de identidade, documentos de viagem e carteiras de saúde. Investigadores rastrearam a origem até a IDScan.net, empresa de verificação de identidade usada por Hertz, Target, FedEx e outras grandes marcas, e o FBI abriu investigação após constatar que documentos de agentes federais também vazaram.
Infostealers como RedLine, Lumma e Vidar coletam de máquinas infectadas muito mais do que senhas salvas: cookies de sessão, dados de preenchimento automático, carteiras de cripto e chaves SSH, tudo revendido em pacotes chamados de logs. O artigo (baseado em orientação da empresa Flare) explica que um cookie de sessão roubado pode permitir que o atacante reproduza o login já autenticado, pulando completamente a etapa de MFA, e propõe um fluxo de priorização e resposta para equipes de segurança.
A Kaspersky publicou um guia sobre os sinais que denunciam lojas e sites fraudulentos mesmo quando o navegador não exibe nenhum alerta de segurança, já que o cadeado HTTPS só garante criptografia da conexão, não a idoneidade de quem está do outro lado. O texto lista táticas de pressão psicológica (contadores regressivos, estoque "quase esgotado"), sinais visuais de amadorismo e categorias comuns de golpe, da loja que nunca entrega ao golpe de investimento em cripto.
Pesquisadores desenvolveram um sistema que combina um detector YOLOv8 ajustado com um modelo de visão e linguagem (VLM) para resolver CAPTCHAs visuais a partir apenas de capturas de tela, sem automação de navegador, atingindo 85,4% de acurácia em 16 classes de desafios. O diferencial é que cada resposta do VLM vira automaticamente um rótulo de treino, permitindo que o detector absorva novas categorias de CAPTCHA após um ou dois encontros e se recupere sozinho quando os operadores tentam neutralizá-lo com perturbações adversariais. Isso derruba a premissa comum de defesa antifraude de que 'um bot que falha continua falhando'.
Um novo artigo acadêmico apresenta o UiAs, sistema que combina ondas mmWave e acústicas para distinguir um rosto vivo de uma máscara 3D de alta fidelidade durante autenticação facial, alcançando 93,25% de acurácia mesmo com usuários nunca vistos no treinamento. A proposta ataca diretamente o problema de spoofing físico em verificação facial, tecnologia usada em KYC remoto e abertura de conta digital.
Um estudo acadêmico apresenta o TaintedPixels, método que injeta perturbações imperceptíveis no canal azul de vídeos com rostos, permanecendo invisíveis no conteúdo original mas se tornando evidentes assim que uma ferramenta de manipulação facial processa o material. Em testes contra três ferramentas comerciais de deepfake, os vídeos falsificados a partir de fontes protegidas foram identificados como fraudulentos por observadores em 90,72% dos casos, contra 56,71% em vídeos sem proteção. A proposta é pensada para ser aplicada antes da publicação, funcionando como uma espécie de vacina contra o uso do material em golpes de personificação por vídeo.
A Anthropic confirmou que infostealers como Vidar, LummaC2, StealC, RedLine, Acreed e Atomic Stealer roubaram cookies de sessão autenticada de usuários do Claude, permitindo acesso às contas sem precisar de senha nem 2FA. Os atacantes usaram esse acesso para consumir o uso pago das vítimas, e a empresa revogou sessões, removeu cartões salvos e reembolsou cobranças indevidas. O caso mostra que o roubo de sessão é hoje um vetor tão relevante para fraude quanto o roubo de senha.
Um relatório da Group-IB compara os desfechos de dois bancos atingidos pela mesma campanha de malware bancário GoldFactory, que já infectou cerca de 11 mil dispositivos na Indonésia, Tailândia e Vietnã e causou entre US$ 1,5 e 2 milhões em prejuízos. Enquanto o mercado registra fraude bem-sucedida em cerca de 0,25% dos aparelhos comprometidos, a instituição que unificou detecção, atribuição e resposta a incidentes reduziu essa taxa para 0,027% — nove vezes menor. O caso mostra que a arquitetura de resposta a fraude, e não apenas a detecção do malware em si, é o que determina o prejuízo final.
Entre novembro de 2025 e junho de 2026, a Operação Jackal IV da INTERPOL resultou em 58 prisões e na identificação de 263 suspeitos ligados a redes de crime organizado da África Ocidental, incluindo grupos como o Black Axe. A investigação rastreou o fluxo do dinheiro — contas laranja, empresas de fachada e serviços de lavagem terceirizados — usado para escoar lucros de golpes românticos, fraude cripto, investimentos falsos e sextortion, com apreensões que somaram dezenas de milhões de euros só na Romênia.
A Group-IB expôs o Balonx Sistema, uma plataforma de Phishing-as-a-Service operada a partir do México que já mirou mais de 20 instituições financeiras, incluindo o Banamex. O serviço combina páginas de phishing em tempo real que interceptam códigos de segunda fator, um RAT para Android distribuído pela própria página falsa e um módulo de vishing com IA (CallFlow) capaz de sustentar até 30 ligações simultâneas com voz sintética. Uma falha operacional dos próprios criminosos, com repositórios no GitHub vazando código-fonte e credenciais, permitiu o mapeamento completo da operação.
Um relatório da seguradora cibernética Resilience mostra que perdas ligadas a phishing, engenharia social e fraude de transferência saltaram de 17,7% dos sinistros pagos no primeiro semestre de 2024 para 85,3% no mesmo período de 2026 — o maior salto registrado em cinco anos de comparações da empresa. O CISO da Resilience recomenda ampliar simulações de ataque para voz, SMS e ferramentas de colaboração, não só e-mail.
O trojan bancário ToxicPanda evoluiu para uma versão 2.0 que amplia drasticamente seu alcance, saindo de um foco europeu restrito para atacar 349 aplicativos financeiros em 16 países. A nova versão abusa da depuração sem fio (Wireless Debugging) do Android para obter acesso em nível de shell ao aparelho sem o conhecimento da vítima, além de usar telas sobrepostas falsas para roubar credenciais bancárias, PINs e senhas de bloqueio. A descoberta foi publicada pela equipe zLabs da Zimperium.
Pesquisadores da UMass Amherst apresentaram no USENIX Security 2026 uma falha no kernel 3 EMV da Visa que permite usar cartões contactless vencidos ou até destruídos em compras reais. O problema está no campo de validade lido pelo terminal, que não é protegido criptograficamente, ao contrário do campo equivalente enviado ao banco emissor. Testes em lojas e supermercados reais confirmaram compras aprovadas com cartões expirados em pelo menos uma instituição, enquanto Mastercard, American Express e Discover bloquearam o mesmo ataque.
A CrowdStrike registrou aumento de 2 vezes em intrusões via vishing (phishing por voz) e de 15 vezes em ataques de "device code phishing" nos últimos seis meses. Em ambos os casos, o criminoso engana a vítima por telefone ou por um fluxo de login legítimo baseado em OAuth para obter acesso a contas corporativas sem precisar quebrar senha ou autenticação multifator. Grupos rastreados como CORDIAL SPIDER e SNARKY SPIDER já conseguem roubar dados em menos de cinco minutos após o primeiro contato com a vítima.
Pesquisadores mostraram que a simples presença de dados sensíveis — senhas, histórico médico, dados financeiros — no contexto de um modelo de linguagem pode vazar de forma sutil em respostas aparentemente inofensivas, mesmo quando o modelo se recusa a revelar a informação diretamente. Usando um classificador treinado e um adversário treinado por reforço, os autores conseguiram extrair números completos de Social Security Number (equivalente ao CPF nos EUA) de um agente em estilo produção, e descobriram que modelos mais capazes vazam mais, não menos.
Pesquisadores da ThreatFabric identificaram o Manic, malware Android que combina trojan bancário com spyware completo, ativo desde fevereiro de 2026 e monitorando 169 aplicativos, com foco em bancos ucranianos, serviços governamentais e plataformas de criptomoedas europeias. O malware abusa dos serviços de Acessibilidade para capturar PINs digitados em apps bancários sem interromper a transação, e usa uma rede mesh via Bluetooth e Wi-Fi Direct para exfiltrar dados mesmo quando o aparelho infectado está sem acesso à internet.
A Group-IB detalha a operação "CoinLure", uma fábrica industrializada de plataformas fraudulentas de investimento que já movimentou US$ 187 milhões usando 208 domínios e 23 templates compartilhados. O relatório argumenta que como o pagamento é sempre autorizado pela própria vítima, tentar bloquear a fraude na hora da transação chega tarde demais — a defesa eficaz está em mapear a infraestrutura compartilhada por trás de dezenas de plataformas aparentemente distintas.
O MacSync Stealer é um infostealer para macOS que rouba senhas de Keychain e navegador, chaves SSH, credenciais AWS e ativos de wallets como Ledger e Trezor, distribuído via técnica ClickFix. A Microsoft conseguiu ligar mais de 30 domínios diferentes à mesma campanha analisando padrões de comportamento (sequências de requisições, uploads em chunks, criação de arquivos temporários) em vez de depender de listas de domínios maliciosos, que os operadores trocam constantemente.
Pesquisadores da Ransomnews mapearam mais de 50 mil chaves de API do Stripe expostas em repositórios públicos do GitHub, logs de GitHub Actions e servidores mal configurados, das quais cerca de 12% ainda estavam ativas e funcionais. Com uma chave secreta válida, um atacante consegue acessar dados de clientes, criar cobranças fraudulentas, emitir reembolsos para contas próprias e sequestrar webhooks — os pesquisadores comprovaram uma cobrança de teste de US$ 1 apenas 17 horas depois de encontrar uma chave ativa.
A Group-IB expôs o "Balonx Sistema", uma plataforma de Phishing-as-a-Service vendida por assinatura semanal (a partir de 3.000 MXN) que mira mais de 20 instituições financeiras mexicanas, incluindo o Banamex. A operação combina páginas de phishing com WebSocket em tempo real para burlar MFA, um módulo de vishing automatizado por IA generativa (GPT-4o-mini, ElevenLabs, Whisper) e um RAT Android disfarçado de app de "proteção bancária".
Golpistas estão trocando links tradicionais por códigos QR em e-mails para escapar dos filtros antiphishing, já que a URL maliciosa fica codificada como imagem e não como texto analisável. A técnica empurra a vítima do ambiente corporativo, mais protegido, para o smartphone pessoal, onde há menos camadas de defesa, e é usada tanto para roubo de credenciais e tokens de MFA quanto para fraude financeira via aplicativos de pagamento com dados pré-preenchidos. O artigo cita que QR codes maliciosos já apareceram em cerca de 11% dos e-mails de phishing no primeiro semestre de 2026 e que o grupo Kimsuky já usou a tática em campanhas de espionagem.
Distribuído via campanhas ClickFix com páginas falsas no GitHub, o AmnesiaStealer é um infostealer para macOS com um módulo de streaming que duplica o perfil do navegador da vítima, abre uma instância headless e transmite a tela ao atacante a cerca de 3fps com controle total de mouse, teclado e navegação. Isso permite operar contas já logadas — bancos, exchanges de cripto, e-mail — preservando as impressões digitais do dispositivo e da rede, o que dificulta a detecção por sistemas antifraude baseados em device fingerprinting.
Um relatório da Group-IB mostra que mais de um quarto dos valores desviados em fraudes financeiras já foi sacado ou movimentado 15 minutos após a transação fraudulenta, chegando a 53% em uma hora e mais de 85% em 24 horas. O documento argumenta que o modelo tradicional de resposta a fraude — abrir caso, escalar entre times, investigar por e-mail — foi desenhado para uma era de liquidação em dias e está estruturalmente incompatível com pagamentos instantâneos.
Em análise técnica própria, a Group-IB detalha o esquema de fraude que combina o RAT SpyNote com o novo malware de retransmissão NFC WindRelay, mostrando como o golpe opera como um kit completo: acesso remoto ao app bancário da vítima para solicitar empréstimos, somado a um canal de saque físico que converte o celular infectado em um leitor de pagamento fraudulento. A empresa identificou vítimas concentradas em República Tcheca, Eslováquia e Eslovênia e propõe indicadores de detecção específicos para bancos e operadoras móveis.
O grupo rastreado como UNC6671 (também conhecido como Redact, Pink, Falcon e Helix) ligou para funcionários de mais de 200 empresas fingindo ser o helpdesk de TI, induzindo-os a "atualizar" MFA em sites falsos de passkey. As credenciais e códigos de segundo fator capturados em tempo real permitiram sequestro de contas em Microsoft 365 e Okta, seguido de roubo de dados e extorsão. Entre as vítimas confirmadas estão gestoras como Blackstone, KKR, Apollo, Bain Capital e Moody's, com pagamentos somando mais de US$ 10 milhões em Bitcoin.
Um relatório da Group-IB argumenta que, na maioria das empresas, existe um intervalo sem dono entre o momento em que a vítima digita a senha numa página falsa e o momento em que a transação fraudulenta é processada — porque times de cibersegurança e de antifraude monitoram estágios diferentes do ataque. O texto usa como estudo de caso uma instituição financeira indonésia enganada por rostos gerados por IA no processo de KYC digital para aprovação de empréstimos, com US$ 6,58 milhões desviados antes da contenção. A lição central é estrutural: o atraso não veio de falta de ferramentas, mas da falta de um time responsável por essa janela específica do ataque.
A Kaspersky lançou no Secure Mail Gateway (KSMG 3.1) uma camada de detecção voltada especificamente para e-mails de Business Email Compromise redigidos por modelos de linguagem, combinando análise estatística do padrão de escrita típico de LLMs com reconhecimento de frases-chave associadas a golpes de BEC. A cobertura multilíngue (oito idiomas, incluindo português) responde ao fato de que textos gerados por IA eliminam os erros gramaticais que antes serviam como pista para funcionários identificarem e-mails fraudulentos. É um movimento defensivo direto contra a profissionalização do BEC assistido por IA.
Uma campanha rastreada como STAC4749 usa ligações no Microsoft Teams com atacantes se passando por suporte técnico para convencer funcionários a abrir sessão de acesso remoto via Quick Assist ou pela ferramenta RemSupp. A partir daí, os criminosos instalam um backdoor via PowerShell, se escondem em entradas de registro com nomes de componentes de áudio legítimos e adicionam AnyDesk ou DWAgent como acesso reserva antes de tentar movimento lateral. Em pelo menos um caso documentado, o intervalo entre o primeiro contato no Teams e a implantação do ransomware Chaos foi inferior a 17 horas.
Analistas do KnowBe4 desmontaram um kit de phishing que lê o User-Agent do navegador no instante do clique e decide, em milissegundos, qual ataque aplicar: instalação de ferramenta de acesso remoto disfarçada para usuários Windows, captura isolada de credenciais Apple/Microsoft, ou um fluxo multietapas com operador humano em tempo real para Android/Linux. O detalhe mais grave é o repasse manual de códigos de MFA capturados antes de expirarem, técnica que neutraliza a autenticação por SMS ou aplicativo na maioria dos casos.
Um artigo científico apresenta o DeepScrub, framework que combina aprendizado por reforço e LLMs para detectar fraude de "pedidos falsos" em plataformas online-to-offline, produzindo não apenas uma decisão mas uma cadeia de raciocínio auditável. Em piloto real de quatro semanas, o sistema atingiu 91,8% de precisão e 88,5% de recall, superando revisores humanos de primeira linha e reduzindo em 94% o volume de revisão manual.
Um novo artigo acadêmico (arXiv, cs.CR) analisa a segurança de plataformas de comércio agentico — sistemas que dão a agentes de IA autonomia para descobrir serviços, mover pagamentos e usar credenciais em nome do usuário. Os autores identificam 33 vulnerabilidades estruturais no protocolo entre agentes e serviços de comércio em três plataformas líderes, com taxa de sucesso de ataque de 100% independentemente do modelo de IA usado. Três dessas falhas se encadeiam em um ataque completo de sequestro de pagamento, e o paper propõe o framework PCAT como defesa na camada de protocolo.
A Chick-fil-A confirmou que mais de 13 mil contas do programa de fidelidade Chick-fil-A One foram comprometidas entre 17 e 19 de junho de 2026, por meio de credential stuffing — ferramentas automatizadas testando, em massa, credenciais obtidas de vazamentos de terceiros. Os atacantes acessaram nomes, e-mails, saldo de pontos, números de pagamento móvel e os últimos quatro dígitos de cartões associados às contas. A empresa deslogou as contas afetadas, removeu métodos de pagamento salvos, restaurou saldos de pontos e orientou os clientes a trocarem de senha.
Um novo artigo científico propõe uma infraestrutura de auditoria à prova de violação para o comércio "agêntico" — transações iniciadas por agentes de IA —, combinando árvores de Merkle e ancoragem em blockchain para registrar eventos de forma verificável entre empresas diferentes. O ponto central para antifraude é um "marcador de fraude" assinado criptograficamente que vincula rótulos de risco a evidências imutáveis, criando uma cadeia de proveniência que não pode ser reescrita depois do fato.
A Upbound Group, controladora da fintech de leasing Acima, confirmou que dados de clientes obtidos em uma invasão foram usados por criminosos para fechar contratos fraudulentos de arrendamento mercantil, gerando prejuízo de US$ 13 milhões só no segundo trimestre. O caso mostra como vazamentos de dados classificados como "não sensíveis" ainda servem de matéria-prima para fraude de identidade em produtos de crédito ao consumidor.
A Chick-fil-A notificou clientes sobre um vazamento de dados causado por ataques de credential stuffing contra contas do programa de fidelidade Chick-fil-A One, ocorridos entre 17 e 19 de junho de 2026. Criminosos usaram listas de credenciais vazadas de outros serviços para assumir o controle de contas, expondo saldos, números de fidelidade, dados parciais de cartão e métodos de pagamento móvel. A empresa revogou sessões comprometidas, removeu formas de pagamento cadastradas e ofereceu créditos como compensação às vítimas confirmadas.
Pesquisadores compararam um classificador clássico (TF-IDF + regressão logística) com um modelo DistilBERT ajustado, treinados em mais de 82 mil e-mails de seis bases públicas, para detectar phishing. Ambos superaram 98% de acurácia em dados limpos, mas despencaram para cerca de 64% quando testados contra e-mails de phishing deliberadamente alterados para escapar da detecção — queda de mais de 34 pontos percentuais em ambos os modelos. O estudo reforça que acurácia em dados de teste "limpos" não prevê robustez real contra atacantes adaptativos.
Uma operação conjunta entre autoridades da Alemanha e dos Estados Unidos desmantelou a infraestrutura central do Kratos, serviço de phishing por assinatura usado por cerca de 1.800 clientes criminosos para atacar vítimas em ao menos 35 países. A plataforma automatizava a criação de páginas falsas de login da Microsoft para roubar credenciais e sequestrar contas, chegando a rodar cerca de 15 mil campanhas por mês. O desenvolvedor do serviço foi preso na Indonésia e mais de 200 servidores foram apreendidos.
Uma análise da Flare sobre 2.889 postagens em fóruns criminosos mostra que proxies residenciais isolados já não bastam para burlar antifraude: fraudadores agora combinam IPs com histórico limpo a navegadores antidetecção, perfis de dispositivo e dados de cobrança coerentes para parecer um cliente legítimo. O material serve como alerta direto para times de risco sobre quais sinais de consistência (e inconsistência) observar.
Uma operação europeia desarticulou uma organização que rodava 20 call centers com mais de 700 'falsos consultores financeiros', com dezenas de milhares de vítimas e picos de € 100 milhões desviados por mês.
Pesquisadores encontraram um cluster Elasticsearch aberto com cerca de 24 bilhões de registros — usuários, e-mails e, em muitos casos, senhas em texto puro — reunidos de vazamentos antigos e coletas ativas de infostealers.
Uma operação de phishing modular batizada de GitBait está mirando ao menos 12 instituições financeiras que operam no México, distribuída via WhatsApp, SMS e Telegram. A infraestrutura abusa do GitHub Pages para hospedar mais de 100 domínios com scripts ofuscados, exfiltrando as credenciais roubadas através da API pública SheetBest, que grava tudo em planilhas Google controladas pelos criminosos.
A Group-IB detalhou o SniperDz, um ecossistema centralizado de Phishing-as-a-Service com mais de 80 templates prontos que imitam cerca de 30 marcas globais (PayPal, Facebook, Netflix, Steam), operando sobre mais de 900 domínios. A plataforma usa permissões de notificação do navegador para prender a vítima e monetiza o tráfego roteando-o para chamadas premium, SMS premium, fraude de investimento e geração de leads.
A Group-IB detalhou o SilabRAT (também chamado SnappyClient), um RAT avançado desenvolvido pelo ator conhecido como o1oo1 e vendido como Malware-as-a-Service em fóruns russos de cibercrime por assinatura mensal de US$5.000. O módulo AutoWallet automatiza a quebra de senhas de carteiras cripto, enquanto técnicas de bypass da criptografia do Chrome e evasão avançada (HVNC, AMSI, UAC) dificultam a detecção.
A Group-IB expôs a operação Error 524 Decoy, que já registrou 4.389 domínios de phishing imitando mais de 260 marcas em 72 países, com 60% da atividade concentrada na América Latina (México, Chile e Colômbia à frente). A técnica usa páginas de erro do Cloudflare falsificadas para escapar de análise, geofencing por país e dispositivo, e exfiltração de dados de cartão em tempo real via WebSocket criptografado.
Levantamento da Group-IB cataloga as dez modalidades mais recorrentes de fraude envolvendo criptoativos, do clássico "pig butchering" a esquemas de airdrop falso e malware "wallet drainer". O relatório mostra como golpes que combinam engenharia social com deepfakes gerados por IA já rendem em média US$ 3,2 milhões por operação e propõe controles comportamentais para instituições financeiras.
Análise da Group-IB mostra que lojistas online seguem aprovando transações com cartões já comprometidos porque ficam fora dos sistemas de alerta (CAMS/SAFE) que bancos usam entre si, descobrindo a fraude só no chargeback. Com mais de 200 milhões de cartões circulando em mercados underground e US$ 50 bilhões em perdas anuais projetadas, o texto detalha as barreiras regulatórias que impedem o compartilhamento de dados e propõe verificação tokenizada pré-autorização como saída.
Análise de tendências de 2026 detalha como identidades sintéticas e deepfakes contornam a verificação de identidade no onboarding digital, e por que checagens passivas já não bastam.
Guia da Group-IB detalha como a fraude de pagamento se manifesta em cada etapa da jornada do cliente — criação de conta, login e checkout — e que controles antifraude (device intelligence, biometria comportamental, machine learning) reduzem perdas sem prejudicar a experiência do usuário legítimo. O documento cobre desde cartões roubados até golpes de "authorized push payment", nos quais a própria vítima é induzida a autorizar a transferência.
Em entrevista à Group-IB, a especialista Sarah Psaila argumenta que a fraude no setor de iGaming — sobretudo abuso de bônus e contas múltiplas coordenadas — já não aparece só como perda direta, mas como distorção silenciosa de métricas de aquisição e fidelidade que levam operadores a tomar decisões de marketing equivocadas. O abuso de bônus sozinho responde por mais de 60% da fraude no setor e pode consumir até 15% da receita anual.
Aceito no IJCAI 2026, o framework CAMERA ataca a 'camuflagem semântica' — fraudadores que imitam o comportamento de usuários legítimos — em grafos com atributos textuais, usando aprendizado não supervisionado baseado na raridade do fraudador.
Bancos brasileiros registraram 12 ataques ao ecossistema Pix nos primeiros quatro meses de 2026. Em resposta, a Lei 15.397/2026 passou a criminalizar o aluguel de contas e o MED 2.0 ampliou o rastreamento de recursos desviados.
Uma ação liderada pela Polícia de Dubai, com FBI e o Ministério da Segurança Pública da China, prendeu 276 suspeitos, fechou nove centrais de golpe e apreendeu US$ 701 milhões em cripto ligados a fraudes de investimento romântico.
O Senado Verifica detalhou como funciona o Mecanismo Especial de Devolução do Pix: prazo de sete dias, bloqueio preventivo e os passos que a vítima deve seguir — além das situações em que o MED não se aplica.
O Departamento de Justiça dos EUA, com a HSI, apreendeu US$ 61 milhões em Tether desviados por esquemas de pig butchering; a própria Tether já congelou cerca de US$ 4,2 bilhões em ativos ilícitos.
A ESET detalha os caminhos pelos quais dados pessoais chegam à dark web — de vazamentos corporativos a infostealers como RedLine e Lumma — e como esses dados alimentam sequestro de contas, roubo de identidade e phishing direcionado. O artigo cita que 20% das vítimas de fraude nos EUA relataram perdas acima de US$ 100 mil em um único ano, reforçando o quanto a exposição de dados se converte em prejuízo financeiro real.
Trabalho no arXiv propõe o One-Side Edge Sampling (OES), técnica que usa a confiança preditiva para amostrar arestas do grafo durante o treino, reduzindo over-smoothing e tempo de treinamento em redes neurais de grafo para detecção de fraude.
A ESET explica como o credential stuffing usa listas de credenciais expostas em vazamentos anteriores para testar login em massa em outros serviços, explorando o hábito de reuso de senha — e não uma falha do serviço-alvo em si. O artigo cita os casos PayPal (35 mil contas em 2022) e Snowflake (165 organizações em 2024) como exemplos de como essa técnica automatizada, hoje potencializada por scripts com IA, virou vetor primário de account takeover e fraude em varejo, finanças, SaaS e saúde.
Pesquisadores do Group-IB mapearam um ecossistema chinês vendido em canais do Telegram que usa dois aplicativos Android com NFC — um instalado no celular da vítima e outro no do criminoso — para retransmitir dados de cartões de pagamento em tempo real através de um servidor de comando e controle. O golpe é vendido como serviço por assinatura, com suporte ao cliente em turnos, e já teria movimentado centenas de milhares de dólares em compras fraudulentas feitas por redes de mulas em lojas físicas.
Relatório da Group-IB mapeia como fraudadores no Uzbequistão combinam ligações se passando por bancos ou órgãos governamentais, criação de urgência artificial e bots no Telegram para induzir vítimas a completar verificações de identidade que, na prática, autorizam empréstimos fraudulentos em seu nome. O documento também aponta casos de fraude interna, com funcionários de bancos usando acesso privilegiado para solicitar crédito em nome de clientes. Como resposta, instituições financeiras do país passaram a adotar verificação biométrica obrigatória, ligação de confirmação e períodos de carência antes da liberação dos valores.
A Group-IB detalha a evolução do grupo GoldFactory, que desde 2024 usa frameworks de instrumentação como Frida, Dobby e Pine para implantar código malicioso dentro de aplicativos bancários originais na Indonésia, Vietnã e Tailândia. Ao manter a aparência e o funcionamento do app oficial, as variantes identificadas (FriHook, SkyHook, PineHook e o novo Gigaflower) escondem sua atividade fraudulenta, abusam de serviços de acessibilidade e capturam dados financeiros e documentos de identidade. A campanha já soma mais de 11 mil dispositivos infectados e atingiu ao menos 30 instituições financeiras, normalmente após a vítima ser convencida por SMS ou Zalo, fingindo ser uma autoridade, a instalar o app adulterado.
A Group-IB apresenta uma rede de compartilhamento de sinais de risco entre bancos baseada em tokenização distribuída, que permite verificar em milissegundos se uma conta já foi sinalizada como suspeita por outra instituição, sem expor dados de clientes entre os participantes. A proposta mira sobretudo o combate a contas-mula, detectando-as ainda na fase de "aquecimento" — quando o fraudador constrói histórico de transações legítimas antes de usar a conta para lavar dinheiro de golpes de pagamento autorizado (APP fraud). Um piloto com 46 bancos, envolvendo apenas dois participantes ativos, já teria identificado de 300 a 400 transações diárias suspeitas, com potencial de evitar entre US$ 10 e 15 milhões em perdas anuais.
Um levantamento da Group-IB baseado em mais de 200 milhões de sessões móveis mapeia seis estágios de evolução das táticas de mulas financeiras usadas contra bancos do Oriente Médio, Turquia e África entre 2023 e 2025. A progressão vai de simples mascaramento de IP até o envio físico de celulares pré-configurados através de fronteiras, sempre um passo à frente dos controles antifraude. O relatório detalha como bancos estão respondendo com detecção em camadas combinando geolocalização, biometria comportamental e análise de grafos.
Além de vender dados realmente roubados, parte do mercado de vazamentos na dark web é sustentada por informações recicladas ou totalmente fabricadas, vendidas como se fossem breaches inéditos. A Group-IB descreve três padrões — reaproveitamento de vazamentos antigos, dados forjados do zero e misturas de conteúdo real com falso — usados por golpistas que constroem reputação em fóruns como BreachForums, XSS e Exploit, além do Telegram, para lucrar sem nunca ter comprometido nada.
Um panorama da Group-IB sobre fraude digital na Austrália aponta perdas anuais superiores a A$2 bilhões, puxadas por roubo de identidade com sequestro de contas de superanuação, fraude em apostas e em crédito "compre agora, pague depois", golpes com deepfake e voz sintética, e fraude de pagamento instantâneo induzida por telefone. Chama atenção o uso de malware que manipula a câmera do dispositivo e de ferramentas de IA que imitam testes de vivacidade facial para burlar verificações de KYC, além de redes de contas laranja usadas para lavar o dinheiro desviado.
A Group-IB detalha o ClickFix, técnica de engenharia social que exibe um pop-up de falsa verificação — reCAPTCHA ou proteção Cloudflare — instruindo a vítima a apertar Windows+R e colar um comando que, sem ela perceber, já foi copiado automaticamente para a área de transferência pelo próprio site malicioso. O comando executa PowerShell ofuscado via mshta.exe, entregando principalmente o infostealer Lumma C2, focado em carteiras cripto e extensões de autenticação em dois fatores salvas no navegador, além de ferramentas de acesso remoto como DarkGate.
A Group-IB mapeia como o SIM swap deixou de ser um golpe simples de engenharia social contra atendentes de operadora e virou uma fraude estruturada em etapas: primeiro coleta de dados da vítima via phishing, depois transferência ou conversão fraudulenta do número para eSIM contornando a verificação de identidade, e por fim interceptação de códigos de autenticação por SMS para assumir contas bancárias e mover dinheiro para contas-laranja. Um dos casos citados envolveu mais de 80 domínios de phishing registrados em massa para sustentar a coleta de dados que alimenta esse tipo de fraude.
A Group-IB identificou a campanha ScreamedJungle, ativa desde maio de 2024, que injetou scripts maliciosos disfarçados de ferramenta de analytics em mais de 115 lojas Magento para coletar o fingerprint de navegador de visitantes sem consentimento. Os dados coletados — cerca de 200 mil fingerprints italianos por mês em apenas nove sites — são usados por fraudadores para clonar a 'identidade digital' de usuários legítimos e escapar de sistemas antifraude baseados em reconhecimento de dispositivo.
A Group-IB descreve como fraudadores usam bots baseados em Selenium/WebDriver e proxies residenciais para testar cartões roubados em pequenas transações antes de aplicar golpes maiores, e mostra como agentes de IA disponíveis publicamente já reduzem a necessidade de conhecimento técnico para escalar esse tipo de ataque. Em uma demonstração própria, a empresa usou um agente de IA público para acessar uma conta bancária e realizar pagamentos, evidenciando o quanto essas ferramentas já são acessíveis a criminosos.
A Group-IB documenta como fraudadores combinam documentos de identidade adulterados por IA, troca de rosto em tempo real e aplicativos de câmera virtual para enganar sistemas de reconhecimento facial e prova de vida usados no onboarding e na autenticação de instituições financeiras. Um único banco na Indonésia registrou mais de 1.100 tentativas de fraude por deepfake, associadas a perdas nacionais estimadas em US$ 138,5 milhões em três meses.
A Group-IB descreve a fase de 'aquecimento' de contas-mula, período em que fraudadores usam dinheiro genuíno para construir um histórico transacional que pareça legítimo antes de ativar a conta para lavagem em larga escala. O artigo argumenta que identificar essa fase inicial — antes da ativação — é a janela mais eficaz para bancos cortarem redes de lavagem antes que causem dano real.
A Group-IB reúne dados recentes sobre fraude digital na Ásia mostrando perdas equivalentes a 1%–3% do PIB em alguns países, com deepfakes contornando verificações de KYC, bots abrindo contas falsas em massa e trojans bancários direcionados a apps financeiros. O artigo argumenta que o monitoramento transacional tradicional (AML/OFAC) já não é suficiente e propõe complementar a defesa com sinais de dispositivo, comportamento e inteligência de ameaças.
O artigo argumenta que a vagueza do conceito de 'interesse legítimo' no GDPR, somada ao risco de multas de até 4% do faturamento global, leva bancos e fintechs a serem excessivamente cautelosos no uso de dados para detecção de fraude — mesmo quando esse uso seria legalmente defensável. O resultado é uma espécie de paralisia analítica nas áreas de risco, em contraste com áreas de marketing que exploram os mesmos dados sem tanta hesitação.
Cassinos e casas de apostas online enfrentam uma nova geração de fraude potencializada por IA generativa: contas sintéticas com histórico comportamental convincente para abusar de bônus, deepfakes de atendentes para roubo de credenciais e navegadores anti-detecção para mascarar dispositivo e localização. A recomendação central é investir em detecção também baseada em IA e em compartilhamento de inteligência entre operadores.
Trojans bancários para Android abusam do serviço de acessibilidade do sistema para ler telas, interceptar SMS/OTP e autorizar transferências em nome da vítima sem que ela perceba. O material detalha como esses malwares se disfarçam de aplicativos legítimos, quais permissões exploram e por que a defesa baseada apenas em assinaturas conhecidas já não é suficiente. A recomendação central é migrar para detecção comportamental e monitoramento de anomalias de sessão.
Uma investigação da Group-IB mapeou como infostealers populares como RedLine (35 milhões de logs) e Vidar (8,6 milhões de logs) são distribuídos junto com ransomware e RATs em pacotes prontos, formando uma cadeia de fraude que vai do roubo de credenciais à venda de acesso inicial em fóruns da dark web. Os dados coletados incluem senhas de navegador, mais de 30 formatos de carteiras de criptomoedas, dados de cartão e arquivos com nomes como "wallet" e "2fa". O trabalho híbrido, citado no artigo como preferência de 87% dos funcionários pesquisados, amplia o risco ao misturar credenciais corporativas em dispositivos pessoais menos protegidos.
O Godfather é um trojan bancário para Android que sobrepõe telas falsas sobre aplicativos legítimos para capturar credenciais, mirando mais de 400 instituições em 16 países — 215 bancos, 94 carteiras de cripto e 110 corretoras. Ele abusa do serviço de acessibilidade do Android para bloquear tentativas de desinstalação e bombardeia a vítima com notificações a cada 8 segundos até que a permissão seja concedida. Um detalhe da amostra chama atenção: o malware se autodesativa caso detecte idiomas de países pós-soviéticos configurados no aparelho, um indício comum de atribuição a operadores da região.
Artigo da Group-IB detalha o funcionamento das redes de mulas financeiras (money mules), pessoas recrutadas para movimentar fundos ilícitos entre contas bancárias em nome de criminosos. O texto explica o ciclo completo do esquema, desde o recrutamento de vítimas até a lavagem via criptoativos, além de indicadores técnicos usados por bancos e exchanges para detectar essas contas. As perdas globais associadas a esse tipo de fraude são estimadas em cerca de US$ 1,6 trilhão.
A Group-IB analisa como golpes online se tornaram uma indústria profissionalizada, com sindicatos criminosos globais desenvolvendo roteiros de fraude e distribuindo-os para operações locais, apoiados por call centers organizados e campanhas de marketing digital. O artigo cita que os golpes causaram mais de US$ 55 bilhões em prejuízos em 2021, um crescimento de 15,7% em relação ao ano anterior, com jovens de 18 a 30 anos cada vez mais visados.
A Group-IB detalha a campanha 0ktapus, que usou smishing e kits de phishing simples para roubar quase 10 mil credenciais e mais de 5 mil códigos MFA de funcionários de mais de 130 organizações, majoritariamente empresas de TI e nuvem nos EUA e Canadá. O golpe evoluiu para um ataque em cadeia de suprimento, comprometendo Twilio, Mailchimp e Klaviyo e usando esse acesso para atingir ainda mais vítimas, incluindo carteiras de criptomoedas.
A Group-IB analisa o MaliBot, um trojan bancário para Android disfarçado de app de mineração de criptomoedas, que rouba credenciais bancárias e de exchanges e intercepta SMS para burlar MFA. O malware, considerado sucessor da família S.O.V.A., se espalha via APKs falsos, clonagem de apps legítimos e campanhas de smishing.
A Group-IB revelou uma infraestrutura industrializada de phishing direcionado que gera links únicos e personalizados para cada vítima, usando geolocalização, fuso horário e idioma para aumentar a credibilidade do golpe e escapar de detecção automatizada. O esquema explora mais de 120 marcas internacionais — sobretudo empresas de telecomunicações — como isca de falsas premiações, atingindo milhares de vítimas por dia em dezenas de países.
A Group-IB identificou a operação criminosa All World Cards (AWC), que divulgou gratuitamente um arquivo com dados completos de 1 milhão de cartões bancários roubados — incluindo número, validade, CVV, nome do titular e endereço — como estratégia de marketing para atrair compradores ao seu marketplace ilegal. Os cartões afetam mais de mil bancos em mais de 100 países, com destaque para Índia, México, EUA e Austrália, e 97% ainda estavam válidos apesar de datarem de 2018-2019.
A Group-IB expôs a Fraud Family, um grupo criminoso de língua neerlandesa que vendia e alugava kits de phishing completos, com painéis de controle em tempo real, para outros golpistas atacarem residentes da Holanda e Bélgica. O esquema incluía bypass de autenticação de dois fatores e spoofing de marcas de bancos e empresas conhecidas. A investigação, feita em colaboração com a polícia holandesa, resultou na prisão de dois suspeitos.
A Group-IB analisou um grande banco de dados de kits de phishing usados para clonar páginas de login de marcas conhecidas. O estudo mostra como esses kits são vendidos e reutilizados por criminosos para roubar credenciais e dados bancários em massa. Mais de 260 marcas foram identificadas como alvo em 2020, com destaque para serviços de e-mail, financeiros e plataformas online.
A Group-IB detalhou o Classiscam, um esquema de fraude automatizada nascido na Rússia em 2019 que já opera como um verdadeiro 'scam as a service', com bots do Telegram gerando páginas falsas de transportadoras para roubar dados de cartão de vítimas de sites de classificados. O esquema conta com cerca de 40 grupos criminosos, mais de 5 mil golpistas cadastrados e movimenta acima de 6 milhões de dólares por ano em mais de 40 países.
A Group-IB descreveu uma campanha que combinou o JS-sniffer FakeSecurity, injetado em lojas online Magento para capturar dados de cartão no checkout, com o infostealer Raccoon, distribuído via documentos maliciosos e páginas de phishing disfarçadas de Adobe Reader. A operação, ativa entre fevereiro e setembro de 2020, tinha como objetivo explícito roubar dados de pagamento e credenciais de usuários em múltiplas frentes simultâneas.
A Group-IB publicou uma análise forense de um computador infectado pelo trojan bancário RTM, grupo que enviou mais de 11 mil e-mails maliciosos entre setembro e dezembro de 2018 para distribuir o malware. O trojan usa hijacking de ordem de busca de DLL e se disfarça de TeamViewer para manter acesso remoto persistente e facilitar fraude bancária.