146 publicações marcadas com esta tag.
Um homem de Ohio foi condenado a 15 anos de prisão por uma série de crimes cibernéticos que incluem perseguição online (cyberstalking) e sextorsão de múltiplas vítimas usando conteúdo pornográfico gerado por inteligência artificial. O caso ilustra como ferramentas de IA generativa vêm sendo incorporadas a esquemas de extorsão, ampliando o alcance e o poder de coerção sobre as vítimas.
Fonte ↗Pesquisadores entrevistaram 17 voluntários que praticam "scambaiting" — a prática de se passar por vítima para investigar, expor e desperdiçar o tempo de golpistas de Technical Support Scams (TSS), o golpe da falsa central de suporte técnico. O estudo, aceito na ACM CCS 2026, conclui que essa comunidade acumula conhecimento operacional sobre os golpistas que frequentemente falta à própria pesquisa acadêmica sobre o tema, mas carece de suporte estruturado.
Fonte ↗Pesquisadores da ZeroBEC identificaram uma atualização significativa no kit de phishing-as-a-service Greatness, que agora combina ataques adversary-in-the-middle (AiTM) com roubo de token de sessão e phishing de código de dispositivo, mirando contas corporativas do Microsoft 365, Google Workspace, iCloud e Yahoo. A evolução torna o kit capaz de contornar autenticação multifator tradicional, ampliando o risco para organizações que dependem apenas de MFA baseado em senha temporária.
Fonte ↗Um cluster de ameaças batizado de PREY-0058 está comprometendo executivos de alto escalão em ambientes Microsoft 365 usando apenas engenharia social por telefone, sem qualquer malware. Os atacantes se passam por suporte de TI interno, capturam credenciais e aprovações de MFA em tempo real e sequestram a sessão para drenar dados de SharePoint, OneDrive, Exchange e Box antes de exigir resgate.
Fonte ↗Analistas identificaram uma campanha de phishing em larga escala que abusa de seis serviços legítimos do Google (Meet, Search, DoubleClick, Custom Search, Image Search e Tag Manager) como redirecionadores abertos antes de levar a vítima ao site fraudulento. O golpe segue duas trilhas: roubo de credenciais forçando duas submissões de senha, ou instalação de um acesso remoto (ScreenConnect) disfarçado de verificação de identidade. Dados roubados são exfiltrados via bot do Telegram após validação por consulta de registros MX, o que ajuda os atacantes a filtrar pesquisadores de segurança e ambientes de sandbox.
Fonte ↗A Kaspersky publicou um guia sobre os sinais que denunciam lojas e sites fraudulentos mesmo quando o navegador não exibe nenhum alerta de segurança, já que o cadeado HTTPS só garante criptografia da conexão, não a idoneidade de quem está do outro lado. O texto lista táticas de pressão psicológica (contadores regressivos, estoque "quase esgotado"), sinais visuais de amadorismo e categorias comuns de golpe, da loja que nunca entrega ao golpe de investimento em cripto.
Fonte ↗O ator conhecido como ChenLun opera desde o Telegram o 'Outsider Phishing Kit', um phishing-as-a-service com mais de 267 templates prontos mirando bancos, PayPal, operadoras de telefonia, governos e e-commerces em 54 países. Mesmo após uma ação da Google e a 'Operation Ghost Hook' em junho de 2026, a operação registrou mais de 700 novos domínios em um único mês, sustentada por um modelo descentralizado de afiliados. O kit rouba cartões, credenciais e contorna MFA em tempo real via WebSocket, com distribuição majoritariamente por SMS (smishing).
Fonte ↗O grupo iraniano Mirage Kitten está abordando engenheiros de software no LinkedIn com falsas ofertas de vaga em fintechs e empresas de aviação no Egito, Etiópia e Afeganistão. O 'teste técnico' enviado à vítima é, na verdade, um projeto trojanizado hospedado num link Amazon S3 legítimo, distribuindo os malwares NodeRabbit e PollCat. O golpe usa um truque inédito de engenharia social: proibir explicitamente o uso de assistentes de IA na revisão do código, justamente porque uma IA identificaria a importação maliciosa.
Fonte ↗Pesquisadores da Zimperium identificaram uma campanha ampla que se passa por recrutadores de RH de marcas como Amazon, Apple, FIFA, Boeing e Deloitte, conduzindo entrevistas falsas altamente realistas com candidatos a emprego. O golpe usa a técnica Browser-in-the-Browser (BitB), que simula uma janela de navegador de login (ex.: OAuth) dentro da própria página, e é ainda mais perigoso em dispositivos móveis, onde não há barra de endereço visível para o usuário conferir a autenticidade. O kit filtra e-mails pessoais, mirando exclusivamente contas corporativas, e ao capturar o login obtém tokens OAuth e comunicações internas para movimentação lateral na empresa da vítima.
Fonte ↗Um problema no processo de verificação de e-mail da Lenovo permitia que qualquer pessoa registrasse um Lenovo ID usando o endereço de e-mail de outra pessoa sem confirmação adicional. Como o Dropbox aceitava login via Lenovo ID confiando na alegação da Lenovo sobre a posse do e-mail, atacantes conseguiram sequestrar cerca de 5 mil contas Dropbox entre 4 e 21 de agosto de 2026, sem precisar da senha original, chegando a visualizar e baixar arquivos das vítimas.
Fonte ↗Pesquisadores da Group-IB identificaram o Balonx, uma plataforma de phishing-as-a-service cujo módulo 'CallFlow' elimina a necessidade de um operador humano em golpes de vishing (phishing por voz). O sistema combina GPT-4o-mini para gerar respostas, ElevenLabs e OpenAI Voice para sintetizar uma voz realista de suposto atendente bancário, e Whisper para transcrever em tempo real as respostas da vítima, tornando a ligação praticamente indistinguível de um call center real. Um painel permite a um único operador monitorar e, se necessário, assumir centenas de ligações fraudulentas simultâneas.
Fonte ↗Um serviço batizado de 'Nexus' passou a vender na dark web digitalizações de mais de 153 milhões de carteiras de motorista de cidadãos dos EUA e Canadá, além de milhões de outros documentos de identidade e cartões médicos. O jornalista Brian Krebs rastreou a origem dos dados até a IDScan.net, empresa de verificação de identidade usada por locadoras de veículos, varejistas e cassinos, levando o FBI a abrir investigação formal. O vazamento expõe milhões de pessoas — incluindo autoridades públicas — a fraude de abertura de crédito e outros golpes de identidade.
Fonte ↗Pesquisadores da Fortra registraram alta de 40% no segundo trimestre de 2026 em ataques de 'SEO poisoning' com cloaking, apelidados de Chameleon, que usam domínios typosquatted para posicionar páginas de phishing no topo de buscas por termos como 'portal do cliente' e 'login de cartão de crédito' de bancos. A técnica é desenhada especificamente para enganar scanners automatizados de segurança, mostrando conteúdo limpo a eles e a página falsa apenas a vítimas reais. O resultado prático é furto de credenciais bancárias por um caminho que o usuário acredita ser confiável: o próprio buscador.
Fonte ↗A empresa de segurança Huntress documentou cinco casos em 2026 de operadores ligados à Coreia do Norte, rastreados como 'FAMOUS CHOLLIMA', que conseguiram vagas legítimas de TI em empresas ocidentais usando documentos falsificados e identidades roubadas. Os operadores usam dispositivos de KVM remoto, VPNs e proxies para simular presença local, executam o trabalho de fato e desviam parte do salário para financiar o regime norte-coreano. O caso ilustra como fraude de identidade e engenharia social contra processos de contratação (RH) viraram vetor de financiamento ilícito e evasão de sanções.
Fonte ↗Dois cidadãos nigerianos foram extraditados aos Estados Unidos e acusados de operar um esquema de sextorsão financeira que resultou na morte de dois adolescentes, no Mississippi e na Carolina do Norte. O golpe usava perfis falsos em redes sociais para obter imagens íntimas e depois extorquir pagamentos em bitcoin sob ameaça de divulgação. Os réus enfrentam pena mínima obrigatória de 30 anos de prisão.
Fonte ↗Pesquisadores da Malwarebytes identificaram uma técnica em que criminosos enviam SMS inofensivos, como se fossem destinados a outra pessoa, para descobrir quais números respondem e quem tem perfil colaborativo. Quem responde "você errou o número" acaba sinalizando aos golpistas que a linha está ativa e que a pessoa é solícita, virando alvo prioritário para fraudes futuras.
Fonte ↗A Cisco Talos identificou o JWR, uma plataforma de phishing-as-a-service que transmite ao vivo, via WebSocket criptografado, a tela da vítima para o atacante enquanto ela preenche dados de cartão, CVV, senha, 2FA e documentos como passaporte. Isso permite ao golpista interagir em tempo real e guiar a vítima para maximizar o roubo, e as campanhas já miram autoridades de trânsito e serviços postais na Ásia e nos Emirados Árabes com pretexto de multas e taxas de entrega.
Fonte ↗O Google Threat Intelligence Group identificou uma campanha de vishing direcionada a funcionários de hedge funds e empresas financeiras, atribuída ao grupo de extorsão UNC6671, antigo BlackFile. Os atacantes ligam para os números pessoais dos funcionários se passando por TI interna, alegam migrações urgentes ou atualizações de MFA/FIDO2, e conduzem as vítimas a portais falsos que capturam credenciais e códigos de autenticação multifator por meio de infraestrutura adversary-in-the-middle. Uma vez dentro, automatizam a extração de dados de ambientes Microsoft 365 e Okta.
Fonte ↗Um relatório da Group-IB compara os desfechos de dois bancos atingidos pela mesma campanha de malware bancário GoldFactory, que já infectou cerca de 11 mil dispositivos na Indonésia, Tailândia e Vietnã e causou entre US$ 1,5 e 2 milhões em prejuízos. Enquanto o mercado registra fraude bem-sucedida em cerca de 0,25% dos aparelhos comprometidos, a instituição que unificou detecção, atribuição e resposta a incidentes reduziu essa taxa para 0,027% — nove vezes menor. O caso mostra que a arquitetura de resposta a fraude, e não apenas a detecção do malware em si, é o que determina o prejuízo final.
Fonte ↗Um artigo da ESET (WeLiveSecurity) descreve como ferramentas de inteligência artificial eliminaram a barreira técnica que antes limitava o reconhecimento detalhado de vítimas a criminosos mais sofisticados. Hoje, a IA consegue cruzar em minutos fotos, publicações e conexões espalhadas em redes sociais para montar perfis completos, usados tanto em phishing altamente personalizado quanto na criação de deepfakes para extorsão e golpes de sextorsão.
Fonte ↗Pesquisadores testaram, em estudo de laboratório com 12 participantes, todas as 25 combinações possíveis entre cinco tipos de engenharia social (phishing, spear-phishing, vishing, smishing e pop-ups) e cinco fatores psicológicos (autoridade, confiança, ganância, curiosidade e um quinto fator), medindo qual combinação convence mais. A mais eficaz foi spear-phishing explorando ganância; pop-ups com autoridade, smishing com autoridade e vishing com curiosidade não convenceram ninguém.
Fonte ↗A Group-IB identificou o WindRelay, um novo malware Android distribuído por meio de ligações em que golpistas se passam por funcionários de banco e induzem a vítima a instalar um app de "suporte". Uma vez com acesso remoto ao aparelho, os criminosos tomam empréstimos em nome da vítima, capturam dados de cartão e concluem transações fraudulentas usando o PIN informado durante a própria ligação. Um caso documentado mostrou o ataque completo, do primeiro contato ao roubo, em apenas 13 minutos.
Fonte ↗Pesquisadores da OX Security encontraram 24 pacotes no npm e em mirrors como UNPKG e npmmirror hospedando páginas HTML que imitam a verificação Cloudflare Turnstile, redirecionando visitantes para sites maliciosos independentemente do resultado do captcha. A técnica abusa da reputação de domínios legítimos de infraestrutura de desenvolvimento para contornar filtros de segurança que normalmente bloqueariam domínios de phishing recém-criados.
Fonte ↗A plataforma criminosa AnonyMousKIT, ativa desde início de 2024, usa agentes de IA com personas falsas — por voz, e-mail e SMS — para se passar pela Apple e extrair passcode, credenciais de iCloud e códigos de dois fatores de vítimas de roubo de iPhone. Com esses dados, os operadores desativam o Find My e o Activation Lock para revender os aparelhos, numa estrutura com mais de 500 domínios e 168 "revendedores", com 90% das chamadas direcionadas ao Brasil.
Fonte ↗A Group-IB expôs o Balonx Sistema, uma plataforma de Phishing-as-a-Service operada a partir do México que já mirou mais de 20 instituições financeiras, incluindo o Banamex. O serviço combina páginas de phishing em tempo real que interceptam códigos de segunda fator, um RAT para Android distribuído pela própria página falsa e um módulo de vishing com IA (CallFlow) capaz de sustentar até 30 ligações simultâneas com voz sintética. Uma falha operacional dos próprios criminosos, com repositórios no GitHub vazando código-fonte e credenciais, permitiu o mapeamento completo da operação.
Fonte ↗Pesquisadores da Universidade Ben Gurion, liderados por Yisroel Mirsky, compararam conversas conduzidas por chatbots de IA com as de golpistas humanos reais na fase de construção de confiança do "pig butchering" e descobriram que a IA foi surpreendentemente eficaz — em algumas medidas, mais convincente que os próprios golpistas humanos. Antes de serem avisados, quase nenhum participante suspeitou de estar conversando com uma IA.
Fonte ↗Um relatório da seguradora cibernética Resilience mostra que perdas ligadas a phishing, engenharia social e fraude de transferência saltaram de 17,7% dos sinistros pagos no primeiro semestre de 2024 para 85,3% no mesmo período de 2026 — o maior salto registrado em cinco anos de comparações da empresa. O CISO da Resilience recomenda ampliar simulações de ataque para voz, SMS e ferramentas de colaboração, não só e-mail.
Fonte ↗A Consumer Federation of America estima que consumidores nos EUA perderam US$ 148 bilhões em golpes no último ano, um salto de 22% sobre 2024 — muito acima dos US$ 20,8 bilhões oficialmente registrados pelo FBI IC3. Golpes envolvendo criptomoedas respondem por mais da metade das perdas relatadas, com idosos como o grupo mais visado e prejuízo médio de US$ 38.500 por vítima. O relatório aponta a subnotificação, estimada em 7,1 vezes os números oficiais, como a principal razão da distância entre estatística oficial e realidade.
Fonte ↗A CrowdStrike registrou aumento de 2 vezes em intrusões via vishing (phishing por voz) e de 15 vezes em ataques de "device code phishing" nos últimos seis meses. Em ambos os casos, o criminoso engana a vítima por telefone ou por um fluxo de login legítimo baseado em OAuth para obter acesso a contas corporativas sem precisar quebrar senha ou autenticação multifator. Grupos rastreados como CORDIAL SPIDER e SNARKY SPIDER já conseguem roubar dados em menos de cinco minutos após o primeiro contato com a vítima.
Fonte ↗Um estudo comparou a capacidade de 82 profissionais de TI e seis detectores automáticos de identificar áudio gerado por três gerações de sintetizadores de voz (2019, 2022 e 2024). A precisão de detecção despencou de cerca de 90% nos sintetizadores antigos para 48% no ElevenLabs, mesmo com os ouvintes avisados da presença de deepfakes, e caiu para apenas 9% de acerto estrito quando somente uma frase de um áudio era sintética.
Fonte ↗Um estudo em larga escala testou a suscetibilidade de adultos americanos a golpes de vishing (phishing por voz) gerados por seis modelos de síntese de voz de ponta, incluindo ElevenLabs e Gemini, comparando com vozes humanas reais em cinco categorias de golpe. A taxa de adesão às solicitações fraudulentas chegou a 36% no cenário "parente em apuros" e 16,5% em média entre todas as categorias, com o modelo Sesame alcançando persuasão equivalente ou até superior à de vozes humanas.
Fonte ↗Uma campanha de Business Email Compromise analisada pela KnowBe4 mostra um e-mail forjado, simulando comunicação interna do Metropolitan Bank and Trust Company sobre uma transferência SWIFT pendente, entregando um script ofuscado que carrega o infostealer Agent Tesla inteiramente em memória, sem gravar o payload final em disco. O malware varre 21 módulos de coleta de credenciais — navegadores, Outlook, Discord, cofre de credenciais do Windows — antes de exfiltrar tudo via FTP, mirando departamentos financeiros para viabilizar fraude de pagamento.
Fonte ↗Um criminoso, provavelmente ligado a operações de ransomware-as-a-service, está contatando vítimas antes mesmo do ataque se tornar público, se passando por uma firma de recuperação chamada "Ransom Busters". Ele cobra entre US$ 20 mil e US$ 60 mil prometendo apagar dados roubados ou entregar chaves de descriptografia, mas provavelmente é apenas o próprio operador do ataque monetizando a vítima duas vezes.
Fonte ↗O grupo Famous Chollima, ligado à Coreia do Norte, está se passando por recrutadores no LinkedIn (e também Discord, Telegram e email) oferecendo vagas remotas bem remuneradas para atrair candidatos a um processo seletivo falso. No fim do processo, a vítima é induzida por um pretexto técnico a colar comandos no terminal do próprio computador, instalando um RAT.
Fonte ↗O MacSync Stealer é um infostealer para macOS que rouba senhas de Keychain e navegador, chaves SSH, credenciais AWS e ativos de wallets como Ledger e Trezor, distribuído via técnica ClickFix. A Microsoft conseguiu ligar mais de 30 domínios diferentes à mesma campanha analisando padrões de comportamento (sequências de requisições, uploads em chunks, criação de arquivos temporários) em vez de depender de listas de domínios maliciosos, que os operadores trocam constantemente.
Fonte ↗A Microsoft registrou cerca de 7,6 bilhões de ameaças de phishing por email no Q2 2026, com destaque para um ataque de Business Email Compromise automatizado que atingiu mais de 67 mil usuários em 42 mil organizações em menos de três horas. O relatório também aponta crescimento de 19% em ataques de phishing via Microsoft Teams entre março e abril, plataforma que tende a contornar filtros de segurança de email tradicionais.
Fonte ↗Golpistas estão trocando links tradicionais por códigos QR em e-mails para escapar dos filtros antiphishing, já que a URL maliciosa fica codificada como imagem e não como texto analisável. A técnica empurra a vítima do ambiente corporativo, mais protegido, para o smartphone pessoal, onde há menos camadas de defesa, e é usada tanto para roubo de credenciais e tokens de MFA quanto para fraude financeira via aplicativos de pagamento com dados pré-preenchidos. O artigo cita que QR codes maliciosos já apareceram em cerca de 11% dos e-mails de phishing no primeiro semestre de 2026 e que o grupo Kimsuky já usou a tática em campanhas de espionagem.
Fonte ↗Uma falha de autorização no sistema de rastreamento de pedidos da fabricante de hardware wallets SafePal expôs nome, e-mail, endereço, telefone e histórico de compras de 39.798 clientes. A empresa confirma que seed phrases e chaves privadas não vazaram, mas os dados já estão sendo usados em ligações e e-mails de phishing que se passam por suporte técnico pedindo 'atualização de firmware' do dispositivo X1.
Fonte ↗Distribuído via campanhas ClickFix com páginas falsas no GitHub, o AmnesiaStealer é um infostealer para macOS com um módulo de streaming que duplica o perfil do navegador da vítima, abre uma instância headless e transmite a tela ao atacante a cerca de 3fps com controle total de mouse, teclado e navegação. Isso permite operar contas já logadas — bancos, exchanges de cripto, e-mail — preservando as impressões digitais do dispositivo e da rede, o que dificulta a detecção por sistemas antifraude baseados em device fingerprinting.
Fonte ↗Pesquisadores da ReliaQuest identificaram uma campanha em que roteadores Wi-Fi de hotéis nos EUA, Índia e Arábia Saudita são comprometidos e usados para envenenamento de DNS, redirecionando hóspedes diretamente para telas falsas de login do Microsoft 365. O golpe abusa do fluxo de autenticação por código de dispositivo (device code) do OAuth, dando ao atacante uma sessão já validada por MFA sem nunca capturar a senha da vítima.
Fonte ↗Segundo relatório da Gen Digital para o primeiro semestre de 2026, golpes representaram 46% de todas as detecções de ameaças da empresa, com destaque para o crescimento de 387% em golpes de falsa autoridade (majoritariamente impersonação de governo nos EUA) e de 454% em golpes de falso parente, estes últimos já incorporando clonagem de voz por IA. Skimming de pagamento em checkouts também cresceu 212% no período.
Fonte ↗Pesquisadores da Zscaler ThreatLabz rastrearam, entre janeiro e junho de 2026, uma campanha de vishing em que atacantes primeiro inundam a caixa de entrada da vítima com spam para criar um pretexto de 'problema técnico', depois contatam via Microsoft Teams se passando por suporte de TI e induzem a vítima a conceder acesso remoto via Quick Assist. A partir daí, instalam backdoors e ferramentas de proxy para depois vender o acesso à rede comprometida a operadores de ransomware.
Fonte ↗A Kaspersky documentou o CrashStealer, um infostealer para macOS que se disfarça do utilitário nativo CrashReporter e é distribuído por meio de um site falso de uma ferramenta de videoconferência fictícia chamada 'Werkbit'. O malware usa um certificado de desenvolvedor Apple válido para contornar o Gatekeeper e rouba credenciais do Keychain, de 14 gerenciadores de senha e de 80 extensões de carteiras de criptomoeda.
Fonte ↗Um novo malware Android batizado WindRelay está sendo distribuído junto com o RAT SpyNote para executar fraudes bancárias completas em poucos minutos: o criminoso liga se passando por atendente do banco, induz a vítima a instalar um app personalizado com seu nome, assume o controle remoto do aparelho e, sem nenhum compartilhamento de tela, retransmite ao vivo os dados NFC do cartão físico enquanto solicita empréstimos pelo próprio app bancário da vítima. Pesquisadores documentaram um ataque completo — do primeiro contato ao saque — em cerca de 13 minutos.
Fonte ↗Uma pesquisa da Trustmi, divulgada pela KnowBe4, encontrou uma desconexão entre a confiança dos funcionários e sua real capacidade de identificar fraudes por engenharia social: 78% acreditam que reconheceriam uma solicitação de pagamento fraudulenta, mas 70% ainda apontam erros de digitação ou gramática como principal sinal de alerta — justamente o indicador que a IA generativa eliminou dos phishings modernos. O estudo reforça que o treinamento corporativo padrão está desatualizado frente a e-mails de phishing gerados por IA, que hoje chegam sem erros e com alta verossimilhança.
Fonte ↗A Kaspersky explica que as chamadas silenciosas — em que ninguém fala do outro lado e a ligação cai logo em seguida — não são erro técnico, mas parte de um pipeline automatizado de discagem em massa (robocalling) que testa números ativos e coleta amostras de voz e dados demográficos para clonagem de voz e priorização de alvos. Os poucos segundos de áudio captados no 'alô' já bastam para estimar sotaque, idade, gênero e horário de disponibilidade, informações usadas depois em golpes de vishing e deepfake de voz.
Fonte ↗Em análise técnica própria, a Group-IB detalha o esquema de fraude que combina o RAT SpyNote com o novo malware de retransmissão NFC WindRelay, mostrando como o golpe opera como um kit completo: acesso remoto ao app bancário da vítima para solicitar empréstimos, somado a um canal de saque físico que converte o celular infectado em um leitor de pagamento fraudulento. A empresa identificou vítimas concentradas em República Tcheca, Eslováquia e Eslovênia e propõe indicadores de detecção específicos para bancos e operadoras móveis.
Fonte ↗Pesquisadores da KnowBe4 detalharam um kit de phishing que esconde o link malicioso final atrás de um redirecionador PHP hospedado em sites legítimos comprometidos, exibindo uma tela falsa de carregamento do OneDrive e usando um cookie de fingerprint (bp_redir_sess) para bloquear scanners automatizados. As vítimas são finalmente levadas a plataformas adversary-in-the-middle como Sneaky2FA e Tycoon 2FA, que roubam sessões já autenticadas com MFA.
Fonte ↗Um vendedor em fórum de vazamentos anunciou 9,2 milhões de registros do cadastro populacional de Israel como uma violação recente, mas análise técnica mostrou que todos os campos de data param em 2005 — os dados vêm de um roubo antigo cometido por um funcionário do Ministério de Assuntos Sociais. Apesar de 'velhos', os identificadores nacionais, endereços e vínculos familiares seguem plenamente utilizáveis para fraude.
Fonte ↗A Kaspersky identificou uma campanha em que criminosos se passam por clientes interessados em produtos específicos, trocam e-mails para ganhar confiança e só então enviam o link malicioso, geralmente disfarçado de um documento em PDF que exige login corporativo. O objetivo final é capturar e-mail e senha corporativos das vítimas, usando inclusive modelos de linguagem para redigir mensagens convincentes.
Fonte ↗Um funcionário da IEH Corporation, fabricante de conectores para uso militar e aeroespacial, inseriu credenciais do Microsoft 365 em uma página de login falsa após clicar em um link enviado por um atacante que se passou por um contato comercial. O invasor obteve acesso à caixa de e-mail e criou regras maliciosas para manter persistência, expondo e-mails, dados de clientes e documentos de engenharia potencialmente sujeitos às regulações ITAR/EAR.
Fonte ↗O grupo rastreado como UNC6671 (também conhecido como Redact, Pink, Falcon e Helix) ligou para funcionários de mais de 200 empresas fingindo ser o helpdesk de TI, induzindo-os a "atualizar" MFA em sites falsos de passkey. As credenciais e códigos de segundo fator capturados em tempo real permitiram sequestro de contas em Microsoft 365 e Okta, seguido de roubo de dados e extorsão. Entre as vítimas confirmadas estão gestoras como Blackstone, KKR, Apollo, Bain Capital e Moody's, com pagamentos somando mais de US$ 10 milhões em Bitcoin.
Fonte ↗Criminosos estão usando fotos roubadas de criadoras reais do OnlyFans, animadas com IA e vozes sintéticas, para construir identidades falsas no TikTok e atrair fãs para conversas privadas no Snapchat. Depois de cobrar pagamentos via Cash App sob promessa de conteúdo exclusivo ou chat ao vivo, os golpistas desaparecem sem entregar nada. O esquema produz duas vítimas: os fãs que perdem dinheiro e as criadoras reais, que têm a imagem usada sem consentimento e enfrentam seguidores enganados.
Fonte ↗Uma campanha ativa de ClickFix está enganando usuários de macOS para colar e executar comandos maliciosos no Terminal, instalando um infostealer escrito em Go. O malware rouba senhas salvas no navegador, dados do Keychain e carteiras de criptomoedas (Bitcoin, Ethereum, Monero, entre outras), driblando o Gatekeeper ao remover o atributo de quarentena dos arquivos. Uma característica incomum é a possibilidade de configurar o saque de apenas uma fração dos fundos da vítima, tornando o roubo mais difícil de perceber a tempo.
Fonte ↗A reportagem argumenta que a inteligência artificial generativa não criou novas fraquezas psicológicas exploradas por golpistas, mas reduziu drasticamente o custo e o tempo necessários para montar ataques de engenharia social convincentes. Exemplos citados incluem phishing sem erros gramaticais gerado em segundos, clonagem de voz em chamadas para reforçar pedidos fraudulentos e perfis falsos no LinkedIn usados como pretexto antes de contatar o suporte técnico. As recomendações de defesa giram em torno de verificação fora de banda e dupla autorização para pagamentos e mudanças administrativas sensíveis.
Fonte ↗A plataforma de phishing-as-a-service Greatness, vendida por US$ 289/mês em canais do Telegram, ampliou seu arsenal contra contas Microsoft 365 com ataques adversary-in-the-middle que capturam tokens de sessão já autenticados por MFA e phishing por device-code. A nova onda se disfarça de notificações da RingCentral, enviadas de servidores IONOS que falham em SPF/DKIM/DMARC mas atravessam filtros porque empresas costumam liberar (whitelist) o domínio legítimo da RingCentral. Com o token replicado, o atacante acessa Outlook, Teams, SharePoint e OneDrive por semanas sem precisar da senha nem burlar o MFA diretamente.
Fonte ↗Um levantamento cita que 53% das organizações sofreram ataques de impersonação direcionada no último ano, com um kit de phishing que identifica o sistema operacional da vítima em milissegundos para escolher o golpe mais eficaz — malware para Windows, coleta de credenciais para Apple, login falso monitorado ao vivo para os demais. Uma campanha de comprometimento de e-mail corporativo (BEC) chegou a atingir mais de 67 mil usuários em 42 mil organizações em menos de três horas, usando impersonação de executivos para desviar pagamentos de folha. O texto reporta ainda que o phishing assistido por IA cresceu 1.200% e que 86% dos ataques de phishing atuais já contêm algum elemento gerado por IA.
Fonte ↗A Kaspersky lançou no Secure Mail Gateway (KSMG 3.1) uma camada de detecção voltada especificamente para e-mails de Business Email Compromise redigidos por modelos de linguagem, combinando análise estatística do padrão de escrita típico de LLMs com reconhecimento de frases-chave associadas a golpes de BEC. A cobertura multilíngue (oito idiomas, incluindo português) responde ao fato de que textos gerados por IA eliminam os erros gramaticais que antes serviam como pista para funcionários identificarem e-mails fraudulentos. É um movimento defensivo direto contra a profissionalização do BEC assistido por IA.
Fonte ↗Golpistas distribuem uma versão falsa do executor de scripts Xeno para Roblox em fóruns de jogos e Discord, prometendo burlar o anti-cheat. O instalador entrega, em múltiplos estágios, um infostealer que rouba cookies, tokens de conta (Discord, Roblox, Microsoft) e dados de carteiras cripto, além de um RAT com keylogging, streaming de tela e execução remota de comandos.
Fonte ↗Uma onda de golpes vem usando chamadas de vídeo não solicitadas via FaceTime para se passar por atendentes da Apple, alegando atividade fraudulenta ou problema técnico na conta da vítima. O objetivo é induzir a vítima a entregar dados de cartão, credenciais bancárias, login da Apple ID ou até códigos de gift card sob pressão psicológica.
Fonte ↗O relatório de ameaças da ESET para o primeiro semestre de 2026 aponta nível recorde de 'quishing' — phishing via QR code — e mais que a duplicação de ataques ClickFix, técnica que engana a vítima com falsas telas de erro para que ela mesma execute comandos maliciosos. Ambas as técnicas miram diretamente o usuário final, deslocando a interação para o celular e explorando a confiança implícita das pessoas em códigos QR e mensagens de sistema.
Fonte ↗Pesquisadores da Lexfo identificaram três kits de phishing sofisticados, construídos sobre o framework open-source Evilginx, que atuam como proxy 'adversary-in-the-middle' (AiTM) contra logins do Microsoft 365. Ao interceptar a sessão de autenticação em tempo real, os kits capturam cookies de sessão e tokens OAuth, tornando o MFA tradicional ineficaz depois que a vítima autentica normalmente na página falsa.
Fonte ↗Pesquisadores da Hunt.io e o jornalista independente NetAskari rastrearam o vazamento do framework de RAT Android "Flying Eagle" (飞鹰), originalmente distribuído por um app falso que se passa por um serviço de uma polícia provincial chinesa. A partir de duas fingerprints técnicas de infraestrutura, mapearam 170 servidores ativos ligados a um mercado no Telegram que vende acesso pronto para roubar credenciais bancárias e de carteiras cripto por meio de telas de sobreposição (overlay). Canais de suporte no Telegram chegam a orientar operadores passo a passo sobre como esvaziar contas de Alipay e WeChat das vítimas, tratadas internamente como "fish".
Fonte ↗Uma campanha rastreada como STAC4749 usa ligações no Microsoft Teams com atacantes se passando por suporte técnico para convencer funcionários a abrir sessão de acesso remoto via Quick Assist ou pela ferramenta RemSupp. A partir daí, os criminosos instalam um backdoor via PowerShell, se escondem em entradas de registro com nomes de componentes de áudio legítimos e adicionam AnyDesk ou DWAgent como acesso reserva antes de tentar movimento lateral. Em pelo menos um caso documentado, o intervalo entre o primeiro contato no Teams e a implantação do ransomware Chaos foi inferior a 17 horas.
Fonte ↗Analistas do KnowBe4 desmontaram um kit de phishing que lê o User-Agent do navegador no instante do clique e decide, em milissegundos, qual ataque aplicar: instalação de ferramenta de acesso remoto disfarçada para usuários Windows, captura isolada de credenciais Apple/Microsoft, ou um fluxo multietapas com operador humano em tempo real para Android/Linux. O detalhe mais grave é o repasse manual de códigos de MFA capturados antes de expirarem, técnica que neutraliza a autenticação por SMS ou aplicativo na maioria dos casos.
Fonte ↗Pesquisadores identificaram uma técnica de phishing batizada de phantom squatting, em que criminosos registram domínios que modelos de linguagem costumam "inventar" como respostas a perguntas de suporte ou login. Ao analisar 913 marcas globais e mais de 685 mil consultas, o estudo encontrou 13.229 URLs maliciosas já ativas explorando esse comportamento e cerca de 250 mil domínios alucinados ainda livres para registro. Um kit de phishing chamado "Montana Empire" já incorpora a técnica em campanhas reais.
Fonte ↗Três vítimas processam a Apple alegando que um aplicativo falso do Sparrow Wallet, disponibilizado na App Store, induziu-as a inserir suas seed phrases e permitiu o roubo de cerca de US$ 1,8 milhão em Bitcoin entre maio e agosto de 2025. O desenvolvedor legítimo da carteira afirma ter alertado repetidamente a Apple sobre clones fraudulentos que continuavam disponíveis na loja mesmo após denúncias.
Fonte ↗A ReliaQuest identificou uma campanha em que atacantes comprometem gateways de Wi-Fi de hotéis e centros de conferência — explorando interfaces de gerenciamento expostas com credenciais fracas ou reutilizadas — para manipular respostas DNS e redirecionar hóspedes a páginas falsas de login do Microsoft 365, como m365-owa.com e ms365-live.com. Não é necessário e-mail de phishing nem anexo malicioso: basta o viajante se conectar à rede do hotel. O alvo são profissionais em viagem dos setores financeiro, jurídico, saúde, energia e varejo, nos EUA, Índia e Arábia Saudita.
Fonte ↗Criminosos estão enviando e-mails de sextortion que se passam pelo grupo extorsionário ShinyHunters, alegando ter invadido câmera, microfone e arquivos das vítimas para exigir US$ 2.000 em Bitcoin. Os endereços de e-mail usados vêm de vazamentos reais de empresas como Amtrak, Hallmark, Substack e Betterment, o que dá falsa credibilidade à ameaça. O próprio ShinyHunters nega envolvimento, indicando que terceiros estão reciclando dados já vazados publicamente.
Fonte ↗Pesquisadores da ReliaQuest identificaram dois novos kits de phishing-as-a-service — Jalisco e OmegaLord — voltados a burlar autenticação multifator. Jalisco abusa do fluxo de “device code” do OAuth, gerando códigos de autorização válidos em tempo real para contornar o limite de 15 minutos de expiração; OmegaLord soma a isso a coleta do número de telefone da vítima, permitindo sequestrar também o segundo fator. A técnica é perigosa porque nunca expõe a senha da vítima ao atacante — a autenticação acontece de forma “legítima” nos servidores reais do provedor.
Fonte ↗Pesquisadores da Unit 42 (Palo Alto Networks) documentaram a técnica "phantom squatting": criminosos monitoram quais URLs modelos de IA costumam inventar ao responder perguntas e registram esses domínios inexistentes antes de qualquer outra pessoa, transformando-os em armadilhas de phishing. Como usuários tendem a confiar em links sugeridos por assistentes de IA, o golpe contorna filtros de e-mail e reputação que dependem de o usuário clicar em algo suspeito.
Fonte ↗Pesquisadores da Cisco Talos identificaram o ARToken, um painel de phishing-as-a-service construído sobre a plataforma EvilTokens, que automatiza o sequestro de caixas de entrada corporativas e o disparo de ataques de Business Email Compromise (BEC) personalizados. A ferramenta mostra que o BEC deixou de ser artesanal para se tornar um serviço comercial replicável por qualquer afiliado pagante.
Fonte ↗Pesquisadores da Cisco Talos identificaram o UAT-11795, ator russo-falante ativo desde meados de 2025, distribuindo instaladores trojanizados de Zoom, Webex, MobaXterm e outras ferramentas para instalar o Starland RAT e o implante em memória WLDR. O objetivo é roubar credenciais de navegador, mapear carteiras de criptomoeda e sequestrar sessões de Discord, Telegram e Steam para uso em fraudes subsequentes.
Fonte ↗O grupo financeiramente motivado UAT-11795 distribui instaladores adulterados de softwares populares (WebEx, Zoom, MobaXterm, DBeaver, FaceIT) para instalar o novo backdoor Starland RAT. A ameaça rouba credenciais, dados do Active Directory e visa mais de 40 carteiras de criptomoedas, atingindo principalmente usuários nos EUA, além de vítimas na Alemanha, Romênia e Venezuela.
Fonte ↗A KnowBe4 relatou que o ClickFix — a técnica que faz a própria vítima copiar e executar um comando malicioso a partir de um falso erro ou CAPTCHA — se tornou o vetor de entrega de malware mais usado, contornando controles de endpoint.
Fonte ↗A Kaspersky detalhou as táticas de manipulação psicológica que golpistas usam para desligar o pensamento crítico da vítima — do medo à urgência artificial — e como reconhecê-las a tempo.
Fonte ↗Uma operação de phishing modular batizada de GitBait está mirando ao menos 12 instituições financeiras que operam no México, distribuída via WhatsApp, SMS e Telegram. A infraestrutura abusa do GitHub Pages para hospedar mais de 100 domínios com scripts ofuscados, exfiltrando as credenciais roubadas através da API pública SheetBest, que grava tudo em planilhas Google controladas pelos criminosos.
Fonte ↗A Group-IB detalhou o SniperDz, um ecossistema centralizado de Phishing-as-a-Service com mais de 80 templates prontos que imitam cerca de 30 marcas globais (PayPal, Facebook, Netflix, Steam), operando sobre mais de 900 domínios. A plataforma usa permissões de notificação do navegador para prender a vítima e monetiza o tráfego roteando-o para chamadas premium, SMS premium, fraude de investimento e geração de leads.
Fonte ↗A Group-IB identificou seis esquemas de fraude distintos e quatro grupos de ameaça explorando a Copa do Mundo 2026, com destaque para o GHOST STADIUM, operação de phishing chinesa que já registrou mais de 4.300 domínios falsos imitando a FIFA e clona com fidelidade quase perfeita o fluxo de login oficial da entidade. As perdas estimadas apenas com ingressos falsos variam de US$ 71 milhões a US$ 474 milhões, com potencial de chegar a bilhões somando todos os esquemas.
Fonte ↗Pesquisadores da ESET identificaram uma onda de sites fraudulentos que imitam o portal oficial da FIFA para a Copa do Mundo 2026, copiando layout, cores e fluxo de compra para vender ingressos e mercadorias inexistentes. As páginas usam domínios parecidos com o oficial e táticas de urgência (ingressos limitados, descontos por tempo curto) para induzir vítimas a inserir dados de pagamento e informações pessoais.
Fonte ↗A ESET reuniu os principais tipos de golpe que se intensificam durante turbulências geopolíticas, do phishing bancário disfarçado de aviso sobre o conflito ao romance scam com militares fictícios, passando por doações falsas, fraude de viagem e investimentos com falsa 'proteção contra inflação'. Segundo dados do FBI citados no artigo, romance scams renderam US$929 milhões em prejuízos em 2025, e fraudes de investimento, US$8,6 bilhões.
Fonte ↗A ESET descobriu a campanha CallPhantom, formada por 28 aplicativos no Google Play que prometiam mostrar o histórico de chamadas, SMS e WhatsApp de qualquer número, mas na verdade geravam dados aleatórios e cobravam pagamento antes de exibir o resultado falso. Os apps somaram mais de 7,3 milhões de downloads, concentrados na Índia e na região Ásia-Pacífico, antes de serem removidos.
Fonte ↗A Microsoft mapeou o cenário de ameaças por e-mail no primeiro trimestre de 2026: 8,3 bilhões de tentativas de phishing, explosão de ataques com QR code em PDFs e cerca de 10,7 milhões de golpes de BEC.
Fonte ↗A ESET descreve como golpistas exploram tanto vazamentos reais quanto inventados para disparar notificações falsas de "seu dado foi vazado", levando vítimas a clicar em links de phishing sob pressão de urgência. Com ferramentas de IA, essas mensagens hoje chegam sem os erros de português que antes as denunciavam, tornando a verificação por canal independente essencial.
Fonte ↗A ESET alerta para o golpe de "recovery scam", em que criminosos usam listas de vítimas de fraudes anteriores — as chamadas "sucker lists" — para se passar por agências de recuperação de ativos ou órgãos oficiais, cobrando taxas antecipadas para "devolver" um dinheiro que nunca existiu. O texto reforça que vítimas de fraude são alvo prioritário de uma segunda onda de golpes, exatamente quando estão mais vulneráveis e ansiosas para reaver o prejuízo.
Fonte ↗A ESET descreve como o grupo Silver Fox, ativo desde 2023, aproveita a temporada anual de declaração de imposto e mudanças de RH no Japão para enviar phishing personalizado com nomes reais de empresas, entregando o trojan de acesso remoto ValleyRAT a funcionários. O timing sazonal explora o momento em que profissionais estão mais propensos a abrir comunicações fiscais e de RH sem desconfiar.
Fonte ↗A Group-IB identificou uma campanha de smishing em larga escala no Oriente Médio e África que finge notificações de entrega falha para roubar cartões, CVVs e códigos OTP em tempo real. A operação usa domínios descartáveis e páginas otimizadas para celular, com fortes indícios de ligação ao kit de phishing-as-a-service chinês Darcula, e cresceu de forma explosiva em 2025, com picos em datas comemorativas.
Fonte ↗A Group-IB expôs a campanha GTFire, que hospeda páginas de phishing em subdomínios do Firebase (web.app) e usa links do Google Translate (translate.goog) como camada de redirecionamento para ganhar credibilidade e escapar de filtros de segurança. A operação já afetou mais de mil organizações em mais de cem países, coletando credenciais duas vezes por vítima através de um truque de "senha incorreta" antes de redirecionar ao site legítimo.
Fonte ↗Durante a temporada de declaração de impostos indonésia, criminosos usam contas falsas de WhatsApp se passando pela receita federal (DJP) para distribuir aplicativos maliciosos que imitam o app oficial Coretax, instalando trojans bancários da infraestrutura GoldFactory (Gigabud.RAT, MMRat e Taotie). O malware abusa de serviços de acessibilidade para gravar a tela, capturar credenciais e OTPs, e executar transferências automáticas, com prejuízo estimado entre US$ 1,5 e 2 milhões só na campanha local e cerca de US$ 6 milhões de impacto anual global da mesma infraestrutura MaaS.
Fonte ↗A Group-IB mapeou uma rede de cerca de 370 domínios falsos e 35 anúncios em redes sociais que imitam bancos peruanos para atrair vítimas com ofertas de empréstimo fácil, extraindo DNI, dados de cartão validados por algoritmo de Luhn, senha bancária e PIN. O esquema, sustentado por um script JavaScript ofuscado, já se expandiu para Colômbia, El Salvador, Chile e Equador.
Fonte ↗Um empresário do cantão de Schwyz, na Suíça, foi levado a transferir vários milhões de francos para uma conta na Ásia após uma série de ligações em que uma voz deepfake imitava um parceiro de confiança.
Fonte ↗Pesquisadores do Group-IB mapearam um ecossistema chinês vendido em canais do Telegram que usa dois aplicativos Android com NFC — um instalado no celular da vítima e outro no do criminoso — para retransmitir dados de cartões de pagamento em tempo real através de um servidor de comando e controle. O golpe é vendido como serviço por assinatura, com suporte ao cliente em turnos, e já teria movimentado centenas de milhares de dólares em compras fraudulentas feitas por redes de mulas em lojas físicas.
Fonte ↗Uma campanha ativa desde agosto de 2025 usa e-mails que imitam notificações do DocuSign para levar vítimas corporativas a páginas de captura de credenciais construídas com o framework LogoKit, que busca automaticamente o logo e o layout da própria empresa da vítima para dar mais credibilidade ao golpe. A infraestrutura fica hospedada em gateways IPFS e buckets S3, dificultando remoção rápida.
Fonte ↗O Group-IB documentou um esquema organizado de falsos empregos remotos que promete ganhos rápidos por tarefas simples, usando anúncios em redes sociais adaptados a dialetos e moedas locais para parecer legítimos. O golpe evolui em etapas — de coleta de dados pessoais a pedidos de depósito com promessa de retorno — até bloquear a vítima após ela investir valores maiores.
Fonte ↗Relatório da Group-IB mapeia como fraudadores no Uzbequistão combinam ligações se passando por bancos ou órgãos governamentais, criação de urgência artificial e bots no Telegram para induzir vítimas a completar verificações de identidade que, na prática, autorizam empréstimos fraudulentos em seu nome. O documento também aponta casos de fraude interna, com funcionários de bancos usando acesso privilegiado para solicitar crédito em nome de clientes. Como resposta, instituições financeiras do país passaram a adotar verificação biométrica obrigatória, ligação de confirmação e períodos de carência antes da liberação dos valores.
Fonte ↗A Group-IB detalha a evolução do grupo GoldFactory, que desde 2024 usa frameworks de instrumentação como Frida, Dobby e Pine para implantar código malicioso dentro de aplicativos bancários originais na Indonésia, Vietnã e Tailândia. Ao manter a aparência e o funcionamento do app oficial, as variantes identificadas (FriHook, SkyHook, PineHook e o novo Gigaflower) escondem sua atividade fraudulenta, abusam de serviços de acessibilidade e capturam dados financeiros e documentos de identidade. A campanha já soma mais de 11 mil dispositivos infectados e atingiu ao menos 30 instituições financeiras, normalmente após a vítima ser convencida por SMS ou Zalo, fingindo ser uma autoridade, a instalar o app adulterado.
Fonte ↗A ESET detalha como criadores de conteúdo com grande audiência são alvo prioritário de spearphishing, credential stuffing e SIM swapping justamente pela confiança acumulada junto aos seguidores. Uma vez sequestrada, a conta é usada para anunciar golpes de investimento em criptomoedas e esquemas de enriquecimento rápido, causando prejuízo financeiro direto a quem confia no influenciador.
Fonte ↗Um golpe em crescimento combina videochamada do WhatsApp, personificação de atendente bancário e pedido de compartilhamento de tela para roubar senhas, OTPs e dados bancários da vítima ao vivo. Depois de obter esse acesso visual, o golpista realiza transferências e sequestra as contas comprometidas para aplicar o mesmo golpe em novas vítimas.
Fonte ↗A Group-IB detalhou a engenharia por trás de plataformas falsas de investimento em cripto e forex, mostrando como grupos organizados dividem papéis — aliciamento, operação de contas-laranja, manutenção técnica — para manter vítimas depositando somas crescentes até o desaparecimento total. A pesquisa também mapeia artefatos técnicos, como painéis administrativos e certificados reaproveitados, que investigadores podem usar para rastrear e derrubar essas operações.
Fonte ↗A Group-IB expôs uma rede de fraude de investimento que usa deepfakes do primeiro-ministro e de ministros de Singapura para dar credibilidade a anúncios que levam a plataformas de trading fraudulentas. A operação combina uma cadeia sofisticada de domínios intermediários, técnicas de evasão de detecção e páginas que imitam veículos de imprensa legítimos como CNA e Yahoo News.
Fonte ↗A Group-IB mapeou cinco formas concretas pelas quais criminosos usam IA generativa para escalar fraude: deepfakes para suplantação de identidade, centrais de golpe com voz sintética, "dark LLMs" sem censura vendidos por assinatura, ferramentas de spam com personalização automática e kits de malware com módulos de IA embutidos. O levantamento estima US$ 350 milhões em perdas só com deepfakes no segundo trimestre de 2025, evidenciando que a IA já reduziu a barreira técnica para golpes sofisticados.
Fonte ↗Um relatório da Group-IB detalha como redes de golpe de investimento constroem funis completos de engano: vídeos deepfake de figuras públicas endossando plataformas de “IA de trading”, resenhas falsas em blogs e redes sociais coordenadas, e painéis fabricados que simulam lucros para induzir depósitos crescentes. As vítimas começam com depósitos de US$ 100 a US$ 250 e, na hora de sacar, são cobradas taxas fictícias que nunca liberam o dinheiro. O relatório lista sinais de alerta claros e a forma mais simples de verificação antes de investir.
Fonte ↗Um relatório da Group-IB descreve o funcionamento passo a passo de golpes de vishing (phishing por voz) que usam clonagem de voz por IA para se passar por chefes, familiares ou funcionários de bancos. Ferramentas como Tacotron 2, VALL-E e ElevenLabs permitem replicar tom e sotaque a partir de amostras coletadas de redes sociais, webinars ou mensagens de voz, combinadas com spoofing de caller ID para aumentar a credibilidade. Instituições financeiras relatam perdas médias de US$ 600 mil por incidente, com menos de 5% dos valores recuperados.
Fonte ↗O trojan bancário Qwizzserial, identificado pela primeira vez pela Group-IB em meados de 2024, teve forte crescimento de atividade no Uzbequistão ao se disfarçar de aplicativos legítimos e canais oficiais do governo distribuídos via Telegram. Uma vez instalado, ele intercepta SMS de bancos e códigos OTP, filtra mensagens por valor de transação e envia os dados roubados para bots do Telegram controlados pelos criminosos.
Fonte ↗Uma campanha de phishing identificada pela Group-IB usa e-mails que imitam a autoridade fiscal holandesa (Belastingdienst/MijnOverheid), alegando uma obrigação fictícia de "declaração especial de criptoativos", para levar vítimas a um site clonado que rouba seed phrases ou induz assinatura de transações maliciosas via WalletConnect. O golpe usa infraestrutura de "drainer as a service" (como o Inferno Drainer), que esvazia carteiras de forma quase instantânea e irreversível.
Fonte ↗Uma campanha de smishing identificada pela Group-IB mira usuários de um serviço de pedágio, enviando SMS sobre supostas dívidas pendentes com ameaça de multa para gerar urgência. A página de phishing usa cloaking via Google AMP para escapar de filtros, faz fingerprinting do navegador para bloquear VPNs, IPs de datacenter e ferramentas como VirusTotal e urlscan.io, e valida os dados de cartão inseridos com o algoritmo de Luhn antes de exfiltrá-los.
Fonte ↗A Group-IB documentou a expansão do Classiscam, esquema de fraude "como serviço" que usa bots de Telegram para gerar em segundos páginas falsas de marketplaces, transportadoras e até órgãos governamentais. Operadores contratados abordam vendedores em anúncios classificados, sugerem migrar a conversa para o Telegram e induzem a vítima a "confirmar o recebimento do pagamento" num site clonado que na verdade rouba dados de cartão e login bancário. Na Ásia Central a investigação encontrou dezenas de domínios ativos mirando bancos e serviços de pagamento do Uzbequistão.
Fonte ↗A Group-IB detalha o ClickFix, técnica de engenharia social que exibe um pop-up de falsa verificação — reCAPTCHA ou proteção Cloudflare — instruindo a vítima a apertar Windows+R e colar um comando que, sem ela perceber, já foi copiado automaticamente para a área de transferência pelo próprio site malicioso. O comando executa PowerShell ofuscado via mshta.exe, entregando principalmente o infostealer Lumma C2, focado em carteiras cripto e extensões de autenticação em dois fatores salvas no navegador, além de ferramentas de acesso remoto como DarkGate.
Fonte ↗A Group-IB mapeia como o SIM swap deixou de ser um golpe simples de engenharia social contra atendentes de operadora e virou uma fraude estruturada em etapas: primeiro coleta de dados da vítima via phishing, depois transferência ou conversão fraudulenta do número para eSIM contornando a verificação de identidade, e por fim interceptação de códigos de autenticação por SMS para assumir contas bancárias e mover dinheiro para contas-laranja. Um dos casos citados envolveu mais de 80 domínios de phishing registrados em massa para sustentar a coleta de dados que alimenta esse tipo de fraude.
Fonte ↗A Group-IB detalha um esquema no Oriente Médio que começa com infecção por malware infostealer (como o RedLine Stealer), passa por uma ligação de um falso funcionário de governo e termina com a instalação de ferramentas de acesso remoto que permitem ao golpista ver a tela da vítima em tempo real. Enquanto a vítima acredita estar resolvendo uma reclamação em um portal oficial, o golpista captura dados do cartão e os códigos OTP exibidos na tela.
Fonte ↗Uma campanha de phishing identificada pela Group-IB mirou funcionários de mais de 30 empresas em 12 setores e 15 países, hospedando páginas maliciosas em domínios confiáveis como Adobe InDesign e DocuSign e usando redirecionamentos via Google AMP para escapar de gateways de segurança de e-mail (SEG). As páginas ainda personalizavam o logo da empresa-alvo via API pública, tornando a isca muito mais convincente.
Fonte ↗Pesquisadores da Group-IB compararam duas famílias de infostealers vietnamitas, VietCredCare e DuckTail, que sequestram contas comerciais do Facebook para fraude publicitária e revenda de acessos. A análise ocorre após a prisão de mais de 20 pessoas em maio de 2024 ligadas a essas campanhas, mas mostra que apenas um dos grupos parece ter sido afetado pela operação policial. O caso ilustra como o roubo de credenciais de contas de anúncio virou um negócio criminoso estruturado e resiliente.
Fonte ↗Pesquisadores identificaram uma campanha coordenada de phishing que se passa por serviços postais em Croácia, Romênia, Sérvia e Eslovênia, usando páginas clonadas quase idênticas às oficiais para roubar dados pessoais e cobrar 'taxas de entrega' fraudulentas. A infraestrutura por trás do golpe parece atender vários países ao mesmo tempo, sugerindo um operador único ou um kit de phishing compartilhado entre grupos regionais.
Fonte ↗A Group-IB documentou um esquema recorrente de venda de lenha e pellets falsos que usa anúncios no Facebook para atrair consumidores franceses durante o inverno, com golpistas operando a partir da Costa do Marfim, Camarões e Benin. O golpe combina documentação comercial falsificada com engenharia social paciente para convencer vítimas a fazer transferências bancárias diretas via IBAN, das quais não há volta.
Fonte ↗A Group-IB descobriu uma campanha de fraude de investimento (pig butchering) que distribui um app de trading falso — batizado de UniShadowTrade — via lojas oficiais de iOS/Android e sites de phishing, atingindo vítimas na Ásia-Pacífico, Europa, Oriente Médio e África. O aplicativo nada mais é do que uma casca que carrega uma interface web fraudulenta simulando operações de investimento, usada para induzir depósitos crescentes até bloquear qualquer saque.
Fonte ↗A Group-IB identificou e rastreou o GXC Team, um grupo que vende phishing-as-a-service com IA e malware Android para interceptar OTP, já tendo mirado 36 bancos espanhóis e outras 30 instituições em países como EUA, Reino Unido, Eslováquia e Brasil. O diferencial do grupo é combinar kits de phishing tradicionais com chamadas de voz geradas por IA para induzir vítimas a entregar códigos de autenticação, elevando bastante a sofisticação do golpe.
Fonte ↗RAT para Android derivado do código vazado do Spymax dá controle total sobre o aparelho da vítima, incluindo captura de credenciais bancárias, SMS e câmera. Distribuído via aplicativos falsos que imitam marketplaces, salões de beleza, restaurantes e até um 'centro antifraude' fictício, já foi usado em campanhas em Singapura contra cerca de dez marcas diferentes desde 2023.
Fonte ↗Cassinos e casas de apostas online enfrentam uma nova geração de fraude potencializada por IA generativa: contas sintéticas com histórico comportamental convincente para abusar de bônus, deepfakes de atendentes para roubo de credenciais e navegadores anti-detecção para mascarar dispositivo e localização. A recomendação central é investir em detecção também baseada em IA e em compartilhamento de inteligência entre operadores.
Fonte ↗O LabHost era uma plataforma canadense de 'phishing-as-a-service' que vendia, por assinatura de US$ 250-300/mês, kits prontos para atacar clientes de bancos como Royal Bank, BMO, CIBC e o sistema de transferências Interac. Com módulos para disparo de SMS em massa e captura de códigos 2FA em tempo real, a operação foi derrubada por ação policial internacional com apoio de inteligência da Group-IB.
Fonte ↗A Group-IB identificou uma campanha com cerca de 900 páginas fraudulentas, todas construídas a partir do mesmo template, que se passam por 35 marcas conhecidas em 13 países para atrair vítimas com promessas de retorno financeiro rápido. O esquema combina anúncios pagos, coleta de dados pessoais e ligações de pressão para levar a vítima a depositar valores iniciais pequenos antes de bloqueá-la.
Fonte ↗A Group-IB mapeou dois vetores de fraude contra passageiros: sites falsos que imitam companhias aéreas para roubar dados de cartão sob pretexto de sorteios ou pesquisas, e centrais de atendimento fraudulentas que se passam por suporte oficial para extrair credenciais e instalar RATs. Contas de milhas comprometidas alimentam ainda um mercado de revenda na dark web.
Fonte ↗A Group-IB atualizou o retrato do Classiscam, esquema de "fraude como serviço" nascido na Rússia em 2019 que automatiza phishing contra usuários de sites de classificados e marketplaces. Com bots do Telegram gerando páginas falsas de pagamento em segundos e uma hierarquia agora altamente especializada, o esquema já foi identificado em 79 países, imitando 251 marcas e movimentando US$ 64,5 milhões.
Fonte ↗A Group-IB descreveu o Gigabud, trojan bancário Android ativo desde 2022 com duas variantes: uma versão RAT que abusa do serviço de acessibilidade para gravar tela e simular apps de bancos, e uma versão "Loan" que se disfarça de aplicativo de empréstimo fácil para coletar documentos e dados bancários. O malware já mirou mais de 99 instituições financeiras e órgãos governamentais em Tailândia, Indonésia, Vietnã, Filipinas e Peru.
Fonte ↗A Group-IB detalhou a estrutura da CryptosLabs, um esquema de fraude de investimento ativo desde 2018 (com raízes em 2015) que chegou a operar cerca de 350 domínios fraudulentos em mais de 80 servidores, imitando mais de 40 instituições financeiras, fintechs e corretoras de cripto reais para atrair falantes de francês. A engenharia é industrial: kit de golpe reutilizável, call center com falsos gestores de investimento e rede de lavagem de dinheiro, tudo sob fachada de empresas legalmente constituídas. O prejuízo estimado às vítimas passa de € 480 milhões ao longo de mais de quatro anos de operação.
Fonte ↗Entre fevereiro e março de 2023, a Group-IB identificou mais de 3.200 perfis fraudulentos se passando por suporte técnico da Meta/Facebook, ativos em 23 idiomas e com indícios de operação desde dezembro de 2020. O golpe usava marcas oficiais e alegações de violação de política para levar vítimas a mais de 220 sites de phishing, coletando tanto senha quanto cookies de sessão — o que permite tomar a conta mesmo sem a senha. Contas comprometidas eram reutilizadas para golpear os próprios seguidores da vítima, criando um efeito cascata.
Fonte ↗A Group-IB documentou a operação da PostalFurious, grupo de língua chinesa ativo desde 2021 que envia SMS falsos de "entrega não realizada" imitando transportadoras reais para induzir a vítima a acessar sites de phishing com typosquatting. As páginas filtram por geolocalização e tipo de dispositivo para só exibir o golpe a alvos relevantes, coletando dados de cartão de crédito e código OTP para realizar transações não autorizadas. A infraestrutura, baseada em kits de phishing em Laravel com painel administrativo, foi rastreada até templates preparados também para França e outros países da Ásia-Pacífico.
Fonte ↗A Group-IB mapeou uma campanha de falsas vagas de emprego que, entre janeiro de 2022 e janeiro de 2023, criou mais de 2.400 páginas fraudulentas no Facebook imitando mais de 40 marcas conhecidas, com foco no setor de logística (64% dos casos). O golpe usa salários irreais para atrair candidatos desesperados, redireciona para páginas de phishing que imitam o login de redes sociais e, após o roubo das credenciais, sequestra a conta e exige resgate para devolvê-la à vítima. Egito, Arábia Saudita e Argélia concentram a maior parte das páginas identificadas.
Fonte ↗Artigo da Group-IB detalha o funcionamento das redes de mulas financeiras (money mules), pessoas recrutadas para movimentar fundos ilícitos entre contas bancárias em nome de criminosos. O texto explica o ciclo completo do esquema, desde o recrutamento de vítimas até a lavagem via criptoativos, além de indicadores técnicos usados por bancos e exchanges para detectar essas contas. As perdas globais associadas a esse tipo de fraude são estimadas em cerca de US$ 1,6 trilhão.
Fonte ↗Pesquisadores da Group-IB identificaram mais de mil domínios falsos imitando uma conhecida agência saudita de recrutamento de trabalhadores domésticos, promovidos via anúncios em redes sociais e conversas no WhatsApp. O golpe combina phishing de dados pessoais, cobrança de uma falsa "taxa de processamento" e, na etapa final, captura de credenciais bancárias e código de autenticação de dois fatores das vítimas.
Fonte ↗A Group-IB analisa como golpes online se tornaram uma indústria profissionalizada, com sindicatos criminosos globais desenvolvendo roteiros de fraude e distribuindo-os para operações locais, apoiados por call centers organizados e campanhas de marketing digital. O artigo cita que os golpes causaram mais de US$ 55 bilhões em prejuízos em 2021, um crescimento de 15,7% em relação ao ano anterior, com jovens de 18 a 30 anos cada vez mais visados.
Fonte ↗A Group-IB detalha a campanha 0ktapus, que usou smishing e kits de phishing simples para roubar quase 10 mil credenciais e mais de 5 mil códigos MFA de funcionários de mais de 130 organizações, majoritariamente empresas de TI e nuvem nos EUA e Canadá. O golpe evoluiu para um ataque em cadeia de suprimento, comprometendo Twilio, Mailchimp e Klaviyo e usando esse acesso para atingir ainda mais vítimas, incluindo carteiras de criptomoedas.
Fonte ↗A Group-IB mapeou um esquema de fraude de investimento que usa anúncios em redes sociais com celebridades falsas para atrair vítimas com promessa de lucro fácil a partir de um depósito inicial baixo. Após o contato inicial, call centers pressionam a vítima por telefone, exibem um painel falso de ganhos e induzem depósitos sucessivos até negar qualquer saque. A rede identificada soma mais de 11 mil domínios, afetando países como Reino Unido, Alemanha, Bélgica e Portugal.
Fonte ↗A Group-IB identificou uma campanha massiva de phishing com 240 domínios interligados que se passam por 27 instituições financeiras do Vietnã, ativa desde maio de 2019. Vítimas são atraídas por SMS, Telegram, WhatsApp e comentários falsos em redes sociais, levadas a um site que lista os bancos e depois a um portal clonado que rouba tanto a senha quanto o código OTP em tempo real, permitindo acesso imediato à conta real.
Fonte ↗Pesquisadores da Group-IB identificaram uma campanha de golpe de "duplicação de criptomoedas" veiculada em transmissões ao vivo falsas no YouTube, usando vídeos manipulados de figuras conhecidas do mercado cripto. Em poucos dias, os criminosos arrecadaram cerca de US$ 1,6 milhão, distribuídos por dezenas de carteiras. Algumas variantes do golpe iam além, solicitando a seed phrase da carteira da vítima, o que dava aos fraudadores controle total sobre os fundos.
Fonte ↗A Group-IB mapeou três grupos distintos de criminosos que se passavam pela operadora postal SingPost para roubar dados pessoais e bancários de vítimas em Singapura, somando dezenas de vítimas confirmadas e prejuízo de centenas de milhares de dólares. As táticas variavam de SMS fraudulentos com cobrança de falsas taxas de entrega até aplicativos Android trojanizados que interceptavam SMS para roubar códigos OTP, e até phishing em tempo real com técnica man-in-the-middle para burlar a autenticação de dois fatores.
Fonte ↗A Group-IB revelou uma infraestrutura industrializada de phishing direcionado que gera links únicos e personalizados para cada vítima, usando geolocalização, fuso horário e idioma para aumentar a credibilidade do golpe e escapar de detecção automatizada. O esquema explora mais de 120 marcas internacionais — sobretudo empresas de telecomunicações — como isca de falsas premiações, atingindo milhares de vítimas por dia em dezenas de países.
Fonte ↗A Group-IB descobriu uma operação de golpe em grande escala que usa mais de 4.300 páginas fraudulentas hospedadas no Blogspot, se passando por mais de 47 marcas de telecomunicações e outras empresas conhecidas em 16 países árabes. O esquema usa a isca clássica de 'sorteio premiado' para coletar dados pessoais e induzir as vítimas a compartilhar o golpe em massa pelo WhatsApp, redirecionando depois para phishing, golpes de romance e instaladores maliciosos. A campanha está ativa desde 2013 e teve alta de 54% em novas páginas só no primeiro semestre de 2021.
Fonte ↗O CERT-GIB do Group-IB descobriu uma campanha de phishing via SMS (smishing) que usa mais de 750 domínios para se passar por bancos e outras instituições holandesas, aplicando uma tática batizada de 'corte o cartão' para roubar credenciais bancárias completas. A técnica combina engano digital com uma etapa física inédita no país: pedir que a vítima corte o próprio cartão (que continua funcional) e agende a 'retirada' por um suposto funcionário do banco. As páginas de phishing usavam geolocalização e ferramentas anti-bot para evitar detecção, chegando a durar 6 dias no ar contra a média de 24 horas.
Fonte ↗A Group-IB expôs a Fraud Family, um grupo criminoso de língua neerlandesa que vendia e alugava kits de phishing completos, com painéis de controle em tempo real, para outros golpistas atacarem residentes da Holanda e Bélgica. O esquema incluía bypass de autenticação de dois fatores e spoofing de marcas de bancos e empresas conhecidas. A investigação, feita em colaboração com a polícia holandesa, resultou na prisão de dois suspeitos.
Fonte ↗Pesquisadores da Group-IB destrincharam o esquema FontPack, que injeta scripts maliciosos em sites legítimos comprometidos para exibir avisos falsos de atualização de Flash Player, navegador ou fontes do sistema. Ao clicar, a vítima baixa o infostealer RedLine, que rouba credenciais salvas, dados de autocomplete e informações bancárias armazenadas no navegador. O artigo também faz a atribuição do kit a um ator identificado como DR.PREDATOR, que o distribuiu gratuitamente em fóruns underground.
Fonte ↗A Group-IB analisou um grande banco de dados de kits de phishing usados para clonar páginas de login de marcas conhecidas. O estudo mostra como esses kits são vendidos e reutilizados por criminosos para roubar credenciais e dados bancários em massa. Mais de 260 marcas foram identificadas como alvo em 2020, com destaque para serviços de e-mail, financeiros e plataformas online.
Fonte ↗A Group-IB detalhou o Classiscam, um esquema de fraude automatizada nascido na Rússia em 2019 que já opera como um verdadeiro 'scam as a service', com bots do Telegram gerando páginas falsas de transportadoras para roubar dados de cartão de vítimas de sites de classificados. O esquema conta com cerca de 40 grupos criminosos, mais de 5 mil golpistas cadastrados e movimenta acima de 6 milhões de dólares por ano em mais de 40 países.
Fonte ↗Pesquisadores identificaram uma campanha de phishing chamada PerSwaysion que abusa dos serviços legítimos de compartilhamento de arquivos da Microsoft (Sway, SharePoint e OneNote) para roubar credenciais de Office 365. O golpe já comprometeu mais de 150 executivos de alto escalão em empresas financeiras, escritórios de advocacia e imobiliárias, principalmente nos EUA, Canadá e centros financeiros globais.
Fonte ↗O grupo cibercriminoso Cobalt Gang manteve em 2019 uma campanha ativa de phishing direcionada a funcionários de instituições financeiras ao redor do mundo. A campanha usa e-mails com arquivos IMG contendo atalhos maliciosos que, por meio de PowerShell ofuscado e bypass de UAC, instalam um stager que baixa o Cobalt Strike para dar aos atacantes acesso persistente aos sistemas bancários comprometidos.
Fonte ↗Um grande júri federal da Califórnia indiciou o russo Searzhudin Tamirlanovich Aktulaev, extraditado após ser detido no Chipre, por operar uma campanha de phishing que, entre 2016 e 2017, usou 255 contas falsas para enviar planilhas Excel maliciosas a 80 mil freelancers de uma plataforma de emprego. Os malwares TVRAT e DarkVNC davam controle remoto total sobre as máquinas infectadas via TeamViewer e VNC, coletando credenciais de e-commerce e dados pessoais posteriormente usados para fraude.
Fonte ↗O Group-IB documentou uma campanha com 95 sites falsos imitando 19 grandes marcas de aviação (Emirates, Lufthansa, Delta, Air France, entre outras), anunciados via posts no Facebook prometendo passagens grátis. Ao 'ganhar' o sorteio fictício, a vítima entrega nome, e-mail, telefone, data de nascimento e endereço, e ainda é induzida a curtir e compartilhar a publicação, recrutando os próprios amigos para o golpe.
Fonte ↗