227 publicações marcadas com esta tag.
A Capcom confirmou acesso não autorizado ao serviço CAPCOM ID, expondo cerca de 11,7 milhões de endereços de e-mail e metadados de conta, com senhas alteradas sem autorização em 196 contas. A própria empresa alertou os usuários para o risco de campanhas de phishing que se passem por comunicações oficiais da Capcom ou de parceiros.
Fonte ↗A Microsoft anunciou que o Teams passará a usar um modelo de IA para analisar o contexto de conversas e identificar tentativas de phishing, engenharia social e personificação, com foco inicial em chats de primeiro contato com usuários externos. O recurso entra em lançamento direcionado em novembro de 2026 e deve chegar à disponibilidade geral em dezembro, sem exigir ação dos administradores.
Fonte ↗Pesquisadores da Netcraft identificaram uma técnica em que atacantes enviam convites de calendário ICS maliciosos que se instalam diretamente na agenda da vítima, contornando filtros de segurança de e-mail. A técnica já está incorporada ao kit de phishing EvilTokens, voltado ao roubo de credenciais de contas Microsoft 365, e persiste no calendário mesmo após o e-mail original ser apagado.
Fonte ↗FBI e CISA emitiram alerta conjunto sobre duas frentes de fraude ligadas ao ciclo eleitoral: golpes contra eleitores usando nome, imagem e voz de candidatos (incluindo conteúdo sintético por IA) para captar doações falsas, e campanhas de phishing/smishing cada vez mais sofisticadas contra funcionários eleitorais e organizações políticas. As agências recomendam MFA resistente a phishing e verificação de doações apenas por canais oficiais.
Fonte ↗Pesquisadores da Malwarebytes alertam que o uso de IA para automatizar candidaturas de emprego está deixando candidatos mais vulneráveis a golpes. Quando o processo é automatizado, o candidato perde o controle sobre onde se candidatou, o que torna mensagens de recrutadores falsos mais plausíveis. Os golpistas exploram essa confusão com aplicativos de entrevista maliciosos, convites falsos de agendamento e pedidos de pagamento antecipado.
Fonte ↗Uma campanha ativa está usando páginas falsas do Calendly disfarçadas de agendamento de entrevista na Meta para roubar credenciais do Facebook e do Google de candidatos a emprego. Após a vítima preencher dados na página de agendamento falsa, ela é redirecionada a uma tela de login clonada, e o atacante captura a senha — e o código de MFA — em tempo real.
Fonte ↗A Operação Serengeti III, coordenada pela Interpol entre junho e agosto de 2026 em 21 países africanos, prendeu 1.462 suspeitos e desmantelou 10.909 redes criminosas ligadas a BEC, golpes de investimento e aposentadoria, apps de empréstimo fraudulentos e mineração ilegal de criptomoedas. Foram recuperados US$ 105 milhões e identificadas quase 66 mil vítimas, com perdas estimadas em US$ 385 milhões. Um caso na Nigéria envolveu um único operador de phishing/BEC que acumulou 2,1 milhões de endereços de e-mail roubados.
Fonte ↗O Google está migrando a detecção de golpes do Chrome, para usuários com Proteção Aprimorada, de um modelo Gemini local para um modelo mais robusto baseado em servidor, que analisa marca impersonada, intenção da página e reputação de domínio. A novidade também passa a alertar quando o usuário copia um comando suspeito associado a ataques ClickFix, removendo dados identificáveis antes de consultar o Safe Browsing.
Fonte ↗Pesquisadores da Fortra identificaram um aumento de 475% em campanhas de phishing que abusam de ferramentas legítimas de monitoramento e gestão remota (RMM), como o AnyDesk, para comprometer contas bancárias de empresas na América do Norte. A vítima é atraída por um alerta falso sobre a conta e, ao clicar em um botão de “chat ao vivo” em um site clonado do banco, baixa automaticamente o instalador do RMM, dando acesso remoto total ao atacante.
Fonte ↗Um relatório da Push Security mostra que o ClickFix se tornou a técnica de engenharia social dominante, saltando de 52% para 67% das detecções de ataque entre o segundo e o terceiro trimestre de 2026, com crescimento de até 23x relatado pela Microsoft entre dezembro de 2025 e maio de 2026. A novidade é o uso de páginas falsas de ferramentas de IA populares — como campanhas “InstallFix” (clonando downloads de Claude, Codex e NotebookLM) e “LLMshare” (abusando de recursos de compartilhamento do ChatGPT e Claude) — para convencer vítimas a colar e executar comandos maliciosos.
Fonte ↗Pesquisadores da Island identificaram uma campanha de phishing ativa que se disfarça de anúncios de ferramentas de IA populares — Gemini, Claude, ChatGPT, Perplexity e Muse — para atrair profissionais de marketing e mídia paga. A operação usa uma técnica de "navegador dentro do navegador" com barra de endereço falsificada para capturar credenciais e tokens de MFA em tempo real, visando contas de anúncios corporativas que já têm método de pagamento e orçamento aprovados.
Fonte ↗A Justiça americana condenou Chukwuemeka Victor Amachukwu a oito anos de prisão por liderar, entre 2019 e 2021, uma rede que usou spearphishing para invadir computadores de escritórios de contabilidade e preparação de impostos nos EUA, roubando dados fiscais e pessoais de mais de 800 clientes. Com essas informações, o grupo solicitou cerca de US$ 8,4 milhões em restituições fiscais fraudulentas (dos quais obteve US$ 2,5 milhões), quase US$ 820 mil em empréstimos emergenciais da SBA e mais de US$ 7 milhões por meio de um esquema de investimento falso com cartas de crédito fraudulentas.
Fonte ↗A WeLiveSecurity (ESET) publicou um guia educativo sobre anúncios fraudulentos em redes sociais, que imitam marcas conhecidas, criam urgência artificial e usam deepfakes de celebridades para aplicar golpes de investimento, falsos alertas de segurança e lojas virtuais falsas. O texto reúne sinais de alerta e orientações práticas para identificar um anúncio malicioso antes de clicar nele.
Fonte ↗Pesquisadores do Group-IB documentaram como operadores do esquema Classiscam estao abusando do processo de cadastro de plataformas de spend management (gestao de despesas corporativas) para dois fins ao mesmo tempo: disparar notificacoes de pagamento falsas que imitam marketplaces conhecidos (phishing) e usar a integracao de open banking dessas plataformas para testar, de graca, se cartoes e credenciais bancarias roubados ainda estao ativos e com saldo. Como o abuso ocorre inteiramente na camada de cadastro e verificacao, ele fica invisivel para o monitoramento transacional tradicional, que so observa a movimentacao de dinheiro.
Fonte ↗Pesquisadores da ESET identificaram uma campanha de phishing que mira criadores de conteúdo do YouTube com propostas falsas de patrocínio de marcas como Nike, Spotify e Hollyland. Os golpistas constroem confiança ao longo de uma negociação simulada antes de induzir a vítima a conceder acesso à sua conta Google via um site fraudulento com métricas de campanha e calculadora de cachê. O objetivo final é o sequestro da conta e do canal, não apenas o roubo de senha.
Fonte ↗Uma análise sobre a aplicação prática da diretiva europeia NIS2 mostra como dados roubados de fornecedores e parceiros de cadeia de suprimentos estão sendo reaproveitados para montar ataques de phishing e vishing extremamente convincentes contra funcionários de empresas maiores. Entre os exemplos citados está uma campanha de nove meses contra empresas de logística e frete que comprometeu mais de 1.600 credenciais, além do vazamento da base de bilhetes da Trenitalia na Itália. O ponto central é que dados operacionais reais tornam a isca quase indistinguível de uma comunicação legítima.
Fonte ↗Pesquisadores catalogaram doze ataques contra o fluxo de aprovação usado quando um agente de IA pede autorização humana antes de mover dinheiro, apagar arquivos ou contatar terceiros, incluindo troca do destinatário exibido, cancelamento de valor após a aprovação e fragmentação de limites. Testando os protocolos AP2, a abordagem da Microsoft e o MCP, a auditoria de dez runtimes de agentes encontrou ausência de registro de aprovação auditável por terceiros em todos eles e alteração de parâmetros após a aprovação em metade dos casos mensuráveis. Como defesa, os autores propõem o ASU (Agent Step-Up), que vincula criptograficamente o que é mostrado ao usuário ao que de fato é executado, reduzindo a taxa de sucesso de ataques simulados de 54% para 3%.
Fonte ↗O Google começou a distribuir para o Android novas defesas baseadas em IA contra mensagens fraudulentas, clonagem de voz e abuso de desvio de chamadas, já disponíveis para dispositivos elegíveis. O sistema combina análise em nuvem via Gemini para conversar com remetentes desconhecidos e um modelo Gemini Nano local que varre links suspeitos em tempo real. Uma camada adicional verifica se ligações que se apresentam como do banco realmente partiram da instituição, encerrando a chamada automaticamente quando a verificação falha.
Fonte ↗Uma pesquisa da Consumer Reports mostra que 91% dos americanos já foram alvo de algum golpe e 17% efetivamente perderam algo para um deles. O dado mais relevante é que 20% das vítimas relataram golpes personalizados com dados pessoais reais, chegando a 32% nas tentativas feitas por telefone, o que a entidade atribui ao uso combinado de dados vazados em brechas com ferramentas de IA generativa. As taxas de adoção de proteções básicas, como checar links antes de clicar ou usar autenticação multifator, ainda ficam bem abaixo de 100%.
Fonte ↗A empresa de segurança Island identificou uma campanha de phishing que se disfarça de plataforma de ferramentas de anúncios com inteligência artificial, usando identidade visual de Gemini, Claude, ChatGPT, Perplexity e Muse. O alvo são profissionais que administram contas de anúncios (agências e media buyers), e o golpe usa um navegador falso embutido para capturar senhas, dados do dispositivo e códigos de autenticação multifator em tempo real.
Fonte ↗Microsoft e a Agência Nacional de Polícia do Japão, com apoio de Cloudflare, Oracle, Proofpoint, TRM Labs e outros parceiros, desmantelaram uma infraestrutura de phishing-as-a-service responsável por mais de 1 bilhão de mensagens maliciosas contra 75 mil organizações em 150 países. A operação atingiu o marketplace clandestino YAM Store e os kits de phishing CoGUI, Haozi e Iron Man, resultando na desativação de mais de 20 mil contas e bloqueio de 100 mil domínios.
Fonte ↗Com o período de Open Enrollment do Medicare nos EUA (até 7 de dezembro), fraudadores aumentam ligações, SMS, e-mails e anúncios patrocinados falsos que imitam a agência oficial para roubar números de Medicare, Seguro Social, dados bancários e informações médicas. A tática central é criar urgência artificial em torno do prazo real, empurrando a vítima a agir sem verificar a autenticidade do contato.
Fonte ↗A ReliaQuest identificou um aumento de ataques de vishing e phishing via Microsoft Teams em que criminosos, incluindo grupos ligados ao ShinyHunters, se passam por suporte técnico interno para convencer funcionários a aprovar MFA, instalar software de acesso remoto ou registrar dispositivos falsos. A simplicidade da técnica — pedir uma ação cotidiana e familiar — é o que a torna eficaz mesmo contra organizações com MFA habilitado.
Fonte ↗A Fortra documentou uma campanha em que o criminoso se passa por um cliente em potencial para conseguir que um funcionário sem relação com vendas encaminhe, para um colega do time comercial, um link de agendamento malicioso. Como o link chega via encaminhamento de um colega confiável, o vendedor baixa a guarda e insere suas credenciais do Microsoft 365 em uma página de agendamento falsa — um exemplo de como engenharia social explora a cadeia de confiança interna, não apenas a confiança em remetentes externos.
Fonte ↗O grupo Silent Ransom Group extraiu aproximadamente US$ 207 milhões de 27 escritórios de advocacia dos EUA entre abril e setembro de 2026, usando apenas ligações telefônicas e engenharia social — sem ransomware, sem criptografia, sem payload técnico. Os atacantes se passam por suporte interno de TI para convencer advogados a enviar documentos confidenciais de clientes para contas de armazenamento externas, que depois servem de base para a extorsão. O pagamento mediano por caso foi de US$ 6 milhões, com um pico de US$ 30 milhões pago pelo escritório White & Case.
Fonte ↗Um levantamento da KnowBe4 mostra que 22% dos ataques de phishing hoje abusam de plataformas SaaS confiáveis como DocuSign, Adobe Sign, Google Drive e QuickBooks para enviar notificações genuínas com links maliciosos embutidos. A técnica, chamada de 'Living Off Trusted Services' (LOTS), consegue atravessar filtros de e-mail justamente porque o remetente é legítimo, mesmo quando o conteúdo não é. De 544 mil e-mails de ameaça analisados, 53 mil usaram esse artifício, com DocuSign e QuickBooks somando dois terços do volume.
Fonte ↗Uma campanha ativa comprometeu mais de 100 sites para exibir uma tela falsa de verificação anti-bot do Cloudflare que, na prática, induz a vítima a copiar e colar um comando malicioso no Executar, PowerShell ou Prompt de Comando do Windows — a técnica conhecida como ClickFix. O comando instala o infostealer LunexStealer, que rouba senhas, cookies e histórico de navegação e pode assumir controle remoto do navegador da vítima.
Fonte ↗Pesquisadores da Fortra identificaram uma campanha em que atacantes se passam por clientes em potencial, contatam funcionários fora da área comercial e os convencem a encaminhar um link de agendamento ao time de vendas. O vendedor, ao receber o convite de um colega conhecido, confia e acaba inserindo credenciais do Microsoft 365 numa página de login falsa embutida no fluxo de agendamento.
Fonte ↗Criminosos se passam por marcas conhecidas (como Nike, Spotify e Hollyland) e oferecem parcerias pagas a criadores de conteúdo, levando-os a um site falso que imita uma plataforma profissional de colaborações. Ao autenticar com Google nesse site, a vítima tem a senha e o código de verificação capturados em tempo real, perde a conta e os golpistas trocam e-mail e telefone de recuperação para travar o acesso do dono original.
Fonte ↗Um artigo acadêmico apresenta o BVI, um sistema que usa um registro público (estilo blockchain) para permitir que uma ligação que afirma vir de um banco seja verificada criptograficamente pelo próprio aparelho do destinatário, sem custo de transação e sem exigir o estado completo da cadeia no celular. A proposta ataca diretamente o problema do vishing com voz clonada, que já eliminou o último sinal que as pessoas usavam para reconhecer uma ligação fraudulenta — o som da própria voz — e mostra em simulação que, mesmo com adoção parcial pelas operadoras, o sistema detecta uma fração relevante de adulterações no caminho da chamada que os esquemas ponto a ponto tradicionais não percebem.
Fonte ↗A Malwarebytes identificou uma campanha de phishing que promete 10 mil assinaturas gratuitas do Claude Max da Anthropic para atrair vítimas e roubar credenciais do Google. O site falso reproduz logo, cores e depoimentos forjados da Anthropic, usa contador regressivo para criar urgência e abre uma janela de navegador falsa (browser-in-the-browser) idêntica à tela de login real do Google. Toda interação de senha é redirecionada para essa janela fraudulenta, inclusive desativando o botão de login via Apple para forçar a vítima a usar a conta Google.
Fonte ↗A Netskope identificou um kit de phishing distribuído via Google Ads que se disfarça de loja online legítima e, após o clique, força o navegador em tela cheia para exibir um alerta de segurança falso atribuído à Microsoft ou à Apple. A página esconde a barra de endereço e o cursor, bloqueia a tecla Esc e outros atalhos de saída, toca alarmes sonoros e repete avisos insistindo para a vítima telefonar imediatamente para um falso suporte técnico.
Fonte ↗Uma campanha voltada a gestores de contas de publicidade usa sites fraudulentos que imitam ChatGPT, Gemini, Claude e Perplexity, anunciando-se como ferramentas de gestão de campanhas de mídia paga. Ao clicar em conectar, a vítima vê uma falsa tela de login do Google renderizada dentro de um iframe que imita uma janela de navegador real, e um operador humano assume o ataque em tempo real para extrair senhas, códigos de SMS, aprovações de autenticador ou QR codes e assim contornar o MFA.
Fonte ↗Durante a Prime Big Deal Days da Amazon, analistas de ameaças identificaram campanhas de phishing altamente evasivas: 75% das mensagens variam nome de exibição, domínio do remetente e assunto para escapar de filtros, e 64% usam caracteres ocultos e espaços de largura zero para contornar a detecção baseada em texto. As iscas mudam por região — de falsos problemas de cobrança nos EUA a avisos de falha de cartão e entrega na Europa — e parte das campanhas já usa imagens geradas por IA e texto invisível para escapar de scanners tradicionais.
Fonte ↗O grupo de mídia japonês Nikkei revelou dois incidentes distintos de comprometimento de contas de funcionários: uma conta Google Workspace invadida em julho, descoberta somente após alerta do próprio Google, e uma conta Microsoft 365 invadida em setembro. A conta Microsoft comprometida foi usada para disparar cerca de 9 mil e-mails de phishing a funcionários e entrevistados da empresa, enquanto a invasão da conta Google expôs nomes e e-mails de 1.646 pessoas.
Fonte ↗Pesquisadores da Rapid7 descrevem uma evolução nos ataques de Business Email Compromise (BEC): em vez de apenas falsificar remetentes, criminosos agora operam dentro de contas de e-mail e calendário legítimas já comprometidas. A técnica batizada de "calendar warfare" usa criação ou exclusão de reuniões para manipular a percepção da vítima sobre prazos e autenticidade de solicitações financeiras, enquanto o controle direto da caixa de e-mail permite enviar instruções de pagamento como se fossem o próprio executivo e depois apagar os rastros.
Fonte ↗Pesquisadores do Group-IB identificaram o Milk Dragon (também chamado NaiLong), um kit de Phishing-as-a-Service ativo desde outubro de 2025 que já gerou 258 páginas falsas em 66 países, impersonando 21 marcas conhecidas. Diferente do phishing tradicional baseado em medo e urgência, o kit atrai vítimas com anúncios de grandes descontos em marketplaces sociais e usa uma técnica de adversary-in-the-middle para interceptar cartões de crédito, contas PayPal e até tokens de autenticação multifator em tempo real. O modelo de assinatura, a partir de US$ 300/mês, e o painel de gestão de campanhas mostram um ecossistema criminoso profissionalizado e de fácil acesso para terceiros.
Fonte ↗Pesquisadores da Huntress identificaram ao menos 40 incidentes em que criminosos usaram anúncios patrocinados do Google e páginas falsas imitando 'Custom GPTs' do ChatGPT para induzir vítimas a copiar e colar comandos PowerShell (técnica ClickFix), instalando um RAT completo disfarçado de atualizador de impressora. O malware dá controle remoto total da máquina e extrai dados de 17 navegadores diferentes — exatamente o tipo de acesso usado depois para sequestro de contas e fraude financeira, mesmo que o artigo original não nomeie a motivação final dos operadores.
Fonte ↗Criminosos criaram GPTs personalizados falsos, promovidos em anúncios patrocinados do Google, que redirecionam vítimas para páginas que imitam uma verificação da Cloudflare e as induzem a colar comandos PowerShell no terminal. O comando dispara uma cadeia de infecção em múltiplas etapas que termina na instalação de um RAT com acesso a desktop remoto, câmera e microfone.
Fonte ↗Uma pesquisa do Gartner mostra que 41% dos CISOs registraram ataques com deepfakes de áudio contra suas organizações no último ano, e 36% tiveram funcionários alvo de chamadas de vídeo manipuladas. O relatório reforça que a engenharia social continua sendo o núcleo desses ataques, com a IA generativa apenas potencializando técnicas já conhecidas de golpe.
Fonte ↗Dois ex-integrantes da Força Aérea dos EUA foram condenados a mais de 15 anos de prisão combinados por operar um esquema de comprometimento de e-mail corporativo (BEC) que desviou ao menos US$ 2,4 milhões, usando phishing para roubar credenciais e domínios falsificados para redirecionar pagamentos a contas de mulas financeiras.
Fonte ↗A ESET (WeLiveSecurity) descreve como golpistas montaram uma indústria paralela de 'saída de timeshare', prometendo liberar donos de contratos indesejados mediante pagamento antecipado. Boa parte das vítimas que perdem dinheiro nesse primeiro golpe é depois recontatada por uma segunda quadrilha que finge ser órgão governamental ou empresa de recuperação de fundos, cobrando uma nova taxa para 'reaver' o prejuízo — um clássico golpe de recuperação (recovery scam) em cima de outro golpe.
Fonte ↗O FBI emitiu um alerta nacional sobre campanhas de fraude em que criminosos se passam por agentes de lei e funcionarios do governo para extrair dinheiro e dados pessoais das vitimas. O contato ocorre por telefone, SMS e email, com falsificacao de numeros, nomes e credenciais de orgaos conhecidos, e as vitimas sao pressionadas com tom urgente a pagar via cripto, cartoes pre-pagos ou transferencia enquanto sao mantidas na linha.
Fonte ↗A ESET descreve como o phishing moderno abandonou os sinais clássicos de fraude — erros de português/inglês, links óbvios — usando IA generativa para escrever mensagens convincentes e técnicas que abusam de fluxos legítimos de autenticação, como roubo de token OAuth sem disparar MFA. O artigo defende que a defesa precisa migrar do "identificar o e-mail ruim" para "detectar e conter rápido" quando a prevenção falha.
Fonte ↗Um novo kit de phishing chamado GhostCode inicia o contato através do próprio formulário de contato da empresa-alvo, driblando filtros de e-mail, para depois enviar um link do WeTransfer com um arquivo HTML protegido por senha. O arquivo redireciona a vítima para uma página de phishing de “device code” do OAuth, que rouba um token que já carrega a validação de MFA — tornando a autenticação multifator ineficaz nesse cenário. O alvo preferencial são vendedores, abordados com pedidos falsos de assinatura de NDA.
Fonte ↗Atacantes comprometeram seis sites empresariais ucranianos e injetaram um falso CAPTCHA da Cloudflare que induz a vítima a executar um comando malicioso via clipboard. O payload, batizado Psychedelic Stealer, rouba senhas de navegadores e carteiras de criptomoedas como Exodus e Electrum. A campanha, rastreada por um painel próprio de distribuição, já registrou centenas de cliques originados majoritariamente da Ucrânia.
Fonte ↗Um grupo de pesquisadores construiu um honeypot de voz ativo — números-isca inseridos nos mesmos canais de geração de leads que fraudadores telefônicos costumam explorar — atendido por um agente conversacional de IA que finge ser um alvo plausível. Em 53 dias, o sistema capturou 10.015 ligações recebidas, das quais 6.601 tiveram diálogo real, somando quase 900 horas de áudio; cerca de 1 em 7 chamadas substantivas foi classificada como golpe direto (949 casos), e o agente foi identificado como não-humano em apenas 5% das interações. O corpus resultante expõe, entre outras coisas, que detectores treinados só com diálogos sintéticos têm precisão baixa contra tráfego real de vishing.
Fonte ↗Pesquisadores da Malwarebytes identificaram páginas de phishing extremamente bem produzidas, com sinais claros de terem sido geradas com apoio de IA, que se passam por avisos de renovação de antivírus. No caso documentado, a página falsificava o Avast Premium Security e cobrava €129,99 de vítimas na Bélgica. O golpe ocorre em duas etapas: captura de dados pessoais via formulário e, em seguida, uma ligação de um falso atendente que tenta instalar malware de acesso remoto ou roubar dados financeiros.
Fonte ↗A Group-IB documentou o "Outsider Phishing Kit", uma plataforma de phishing-as-a-service operada por um grupo baseado na China e vendida por assinatura via Telegram, responsável por mais de 100 mil páginas de phishing em 54 ou mais países entre dezembro de 2025 e maio de 2026. Mesmo após o Google processar o grupo com apoio do FBI na operação "Ghost Hook" em junho, a operação seguiu ativa, com centenas de novas páginas surgindo já no mês seguinte ao takedown. O kit reduz drasticamente a barreira técnica para lançar campanhas de fraude em massa, oferecendo templates prontos e painel centralizado de coleta de dados.
Fonte ↗O ESET explica o roteiro clássico do golpe do caixa eletrônico de criptomoedas, que combina uma ligação de falsa autoridade (polícia, banco ou suporte técnico) com pressão psicológica para levar a vítima a sacar dinheiro e depositá-lo em um Bitcoin ATM. O passo final é sempre o mesmo: um QR code fornecido pelo golpista redireciona os fundos depositados diretamente para a carteira do criminoso, tornando a transação irreversível.
Fonte ↗Microsoft, Coinbase e a Polícia Metropolitana de Londres desmantelaram o EvilTokens, uma plataforma de phishing por assinatura operada pelo grupo Storm-2992 que vendia acesso via Telegram por US$1.500 de entrada mais US$500/mês. Em poucos meses o kit comprometeu mais de 12 mil caixas de e-mail em mais de 10 mil organizações usando phishing por código de dispositivo, que contorna o MFA. A operação usava IA para analisar as caixas invadidas e gerar automaticamente novas mensagens de phishing personalizadas contra os contatos da vítima.
Fonte ↗Criminosos criaram uma organização falsa no GitHub se passando pelo LastPass, otimizada para aparecer bem posicionada em buscas, e usaram um driver de kernel legítimo — assinado pela Microsoft mas apenas renomeado — para desativar 145 ferramentas de antivírus e EDR antes de instalar o infostealer Rapuncel. O malware rouba senhas de mais de 25 navegadores, carteiras de mais de 30 aplicativos de criptomoeda, tokens do Discord, sessões do Steam e credenciais do Windows, chegando a contornar a criptografia "app-bound" do Chrome/Edge lançada pelo Google em 2024. Pesquisadores identificaram depois um kit maior, o mesmo usado para se passar por mais de 40 empresas diferentes.
Fonte ↗A Group-IB identificou o RemControl, um trojan bancário Android operado como serviço (MaaS) desde maio de 2026, que usa overlays de phishing para roubar PIN, senha e dados de cartão de clientes de bancos na Europa Ocidental, Oriente Médio e Canadá. O malware se distribui por páginas falsas de um app de IPTV na Play Store e abusa do Serviço de Acessibilidade do Android para sobrepor telas falsas aos apps bancários legítimos. O achado mais curioso é que os próprios operadores parecem ter usado um assistente de IA para programar parte do painel de controle e das telas de phishing, sem que a IA soubesse o que estava realmente construindo.
Fonte ↗A Microsoft descreveu uma técnica em que atacantes ligam ou enviam SMS para o telefone pessoal da vítima se passando pelo helpdesk de TI, convencendo-a a "cadastrar uma passkey" — mas o objetivo real é interceptar device codes e tokens de sessão via ataque adversary-in-the-middle, contornando totalmente a MFA. O kit "BigBear 2.0", rastreado pela CloudSEK, já comprometeu 5.137 registros de credenciais, incluindo 474 autenticações completas com bypass de MFA, em mais de 40 países. Como o golpe costuma ocorrer em dispositivos pessoais fora do Defender for Endpoint, a atividade maliciosa passa despercebida pela telemetria corporativa.
Fonte ↗A Microsoft rastreou uma campanha de phishing que usou IA generativa para enviar mais de um milhão de e-mails personalizados a departamentos de contas a pagar, tentando executar fraudes de desvio de pagamento (payment diversion) de cerca de US$ 50 mil por golpe. Os atacantes se passaram por executivos como CEO e CFO e criaram faturas falsas com a marca de fornecedores reais, como o ServiceNow, para dar credibilidade ao pedido de transferência.
Fonte ↗A ESET mapeou os principais golpes que exploram o desejo de jogadores, muitos deles crianças, por Robux gratuito: geradores falsos que roubam a conta em vez de gerar moeda, sorteios fraudulentos divulgados em YouTube, TikTok e Discord, páginas de phishing que imitam o login do Roblox e cartões-presente inexistentes. Todos seguem o mesmo padrão de engenharia social — prometer algo de valor em troca de credenciais ou dados pessoais.
Fonte ↗Um alerta conjunto de agências de polícia e inteligência do Japão, EUA, Austrália e Alemanha expôs a campanha Contagious Interview (grupo WaterPlum), que usa falsas entrevistas de emprego para instalar malware em desenvolvedores. A operação já infectou mais de 30 mil dispositivos em mais de 100 países, comprometeu cerca de 7 mil carteiras de criptomoedas e resultou em US$ 10,71 milhões desviados para a Coreia do Norte.
Fonte ↗Pesquisadores da Microsoft identificaram uma campanha de phishing que já atingiu milhões de e-mails usando "ASCII smuggling": caracteres Unicode invisíveis inseridos dentro de palavras-chave sensíveis para escapar de filtros automatizados de detecção. A técnica, originalmente popularizada em ataques de prompt injection contra assistentes de IA, agora é reaproveitada em campanhas de phishing tradicionais em larga escala.
Fonte ↗A Blackpoint descobriu o ChainScript, um RAT em Node.js distribuído por campanhas ClickFix disfarçadas de instaladores de Spotify, Zoom e Teams, que consulta um smart contract na rede Polygon para descobrir o endereço atual do seu servidor de comando -- técnica chamada EtherHiding. O malware dá controle total da máquina da vítima e varre carteiras de criptomoedas instaladas, ainda sem rotina dedicada de roubo de chaves privadas.
Fonte ↗Pesquisadores lancaram o APort Vault, benchmark que reproduz 4.371 ataques escritos por humanos durante uma competicao CTF publica contra um agente de pagamentos baseado em IA, testando 14 modelos de 8 laboratorios sob diferentes niveis de politica. Sem uma camada extra de verificacao, o agente autorizou 140 transferencias para destinatarios nao permitidos em quase 77 mil avaliacoes; com uma checagem deterministica de autorizacao antes da acao, especificada pelo Open Agent Passport (OAP), esse numero caiu a zero em mais de 69 mil avaliacoes, sem barrar nenhum pagamento legitimo.
Fonte ↗Uma campanha ativa usa repositórios GitHub otimizados para SEO, imitando a LastPass Authenticator e outras 39 empresas, para distribuir um infostealer inédito batizado de Rapuncel. O malware rouba credenciais de 25 navegadores, dados de 30 carteiras de criptomoedas e conteúdo do Windows Credential Manager, além de instalar um driver kernel que mata mais de 140 processos de antivírus e EDR. A técnica de disfarce é sofisticada o bastante para contornar buscas e varreduras automáticas de segurança.
Fonte ↗Pesquisadores da ESET mostram que ferramentas de IA generativa estão reduzindo drasticamente o tempo necessário para a etapa de reconhecimento em ataques de engenharia social direcionados. Com LLMs, atacantes conseguem varrer redes sociais e fontes públicas, montar perfis detalhados de vítimas e gerar mensagens de phishing altamente personalizadas, inclusive em idiomas que não dominam. O resultado é um golpe mais crível e escalável, reduzindo a barreira técnica para campanhas de spear phishing sofisticadas.
Fonte ↗Um vazamento de dados de cerca de 680 clientes da Revolut foi rastreado a uma conta de e-mail certificado (PEC) do governo italiano comprometida, usada por criminosos para se passar por policiais da Polícia Postal e solicitar dados sensíveis diretamente à fintech. A Revolut nega invasão de seus próprios sistemas, afirmando ter atendido solicitações que pareciam legítimas por partirem de um domínio governamental oficial.
Fonte ↗Pesquisadores da Microsoft identificaram uma campanha de engenharia social em que atacantes ligam ou mandam SMS para o celular pessoal de funcionários se passando por suporte de TI, alegando que é preciso atualizar passkey, MFA ou SSO. A vítima é levada a um site falso que imita o login da Microsoft, e o verdadeiro objetivo é abusar do fluxo de autenticação por device code para roubar tokens de sessão válidos. Como o contato começa fora dos canais corporativos monitorados, o ataque deixa poucos rastros até que o acesso já esteja em uso.
Fonte ↗Pesquisadores da ReliaQuest identificaram uma técnica em que atacantes omitem o domínio do campo de remetente em e-mails enviados por Direct Send, o que neutraliza a proteção RejectDirectSend do Microsoft 365 Exchange Online. Com isso, mensagens não autenticadas passam a se passar por usuários internos e chegam à caixa de entrada mesmo falhando nas verificações padrão de autenticidade. O golpe mira principalmente times financeiros e cargos com poder de aprovar pagamentos, usando pretextos como notificações de documentos e pedidos de pagamento.
Fonte ↗Uma campanha de phishing em larga escala esta encadeando ate seis propriedades legitimas do Google -- incluindo redirecionadores e servicos de infraestrutura -- para levar vitimas a paginas de coleta de credenciais ou a ferramentas de acesso remoto. O diferencial em relacao a golpes tradicionais e que, em vez de tentar esconder o link malicioso, a operacao entrega aos filtros de seguranca exatamente os dominios confiaveis que eles esperam ver em cada salto do redirecionamento, dificultando a deteccao automatizada. A pagina final se personaliza em tempo real, puxando logo da empresa da vitima via Clearbit e capturas de tela do site real, aumentando a verossimilhanca do golpe.
Fonte ↗Cinco líderes ligados à organização criminosa nigeriana Black Axe — Perry Osagiede, Franklyn Osagiede, Osariemen Clement, Collins Otughwor e Musa Mudashiru — foram extraditados da África do Sul para os Estados Unidos após presos em 2021. Eles respondem por coordenar, entre 2011 e 2021, um esquema massivo de fraude envolvendo golpes de taxa antecipada e romance scam contra vítimas americanas, usando perfis falsos, redes sociais, sites de relacionamento e números VoIP. As acusações incluem fraude eletrônica, lavagem de dinheiro e roubo de identidade agravado, com penas que somadas podem passar de 40 anos por réu.
Fonte ↗A Gen Digital identificou uma campanha de engenharia social em que golpistas se passaram por um executivo da propria empresa e por um consultor da PwC para induzir um funcionario a mover a conversa para WhatsApp e email pessoal usando um NDA falso. O objetivo era isolar a vitima dos canais corporativos monitorados antes de solicitar uma transferencia fraudulenta de dinheiro, tatica classica de fraude do tipo BEC (Business Email Compromise). O funcionario percebeu as inconsistencias e colaborou com a investigacao, evitando o prejuizo.
Fonte ↗Pesquisadores descrevem o "slop squatting", tecnica em que criminosos monitoram alucinacoes de LLMs (dominios ou pacotes inexistentes sugeridos por assistentes de IA) e registram esses enderecos para hospedar paginas de phishing. Como varios usuarios recebem a mesma resposta fabricada para perguntas parecidas, um unico dominio malicioso pode capturar um volume relevante de vitimas que confiam cegamente na sugestao da IA.
Fonte ↗A fintech britânica Revolut confirmou ter compartilhado dados de um grupo "muito limitado" de clientes com um criminoso que se apresentou como agência governamental legítima, usando um domínio de e-mail autêntico para dar credibilidade ao pedido. Entre os dados vazados estão cópias de passaporte, selfies de verificação, extratos bancários, números IBAN e histórico completo de transações, incluindo movimentações em Bitcoin. Um investigador especializado em fraude com criptoativos aponta que o ataque parece ter sido direcionado a clientes de alto patrimônio, o que amplia o risco de fraudes personalizadas e extorsão contra essas vítimas.
Fonte ↗A Group-IB desmontou o JWR, kit de phishing usado pelo cluster "Outsider" do Smishing Triad, e encontrou uma central de controle que permite a um operador humano acompanhar a digitação da vítima e redirecioná-la em tempo real entre 32 páginas fraudulentas diferentes. O kit captura, em estágios sucessivos, identidade, dados de cartão, senha bancária, código OTP e até uma segunda conta bancária ou carteira digital, tudo enviado por WebSocket sob uma criptografia AES que expõe a própria chave junto com os dados. A infraestrutura já rotacionou mais de 194 mil domínios em 192 países desde 2024, evidenciando phishing como serviço em escala industrial.
Fonte ↗A Revolut confirmou ter entregado documentos de KYC, selfies de verificação e históricos de transações em Bitcoin de clientes após receber uma solicitação fraudulenta enviada de uma conta de e-mail comprometida dentro do domínio real de uma agência governamental. A fintech não foi hackeada diretamente: o processo de verificação baseado em autenticação de domínio foi enganado por credenciais legítimas de um e-mail institucional invadido. O caso expõe como a confiança em domínios oficiais, sem confirmação fora de banda, pode ser explorada para extrair dados sensíveis em massa.
Fonte ↗Um relatório de inteligência de ameaças da Anthropic identificou um estúdio na China que usou o modelo Claude para operar uma rede de mais de 20 aplicativos de namoro, gerando cerca de 4.700 personas de IA distintas que conversaram com pelo menos 25 mil pessoas em apenas duas semanas. A operação combinava bots de IA para volume de conversas com operadores humanos reais para tarefas que exigem presença, como chamadas de vídeo, um modelo híbrido que escala o clássico romance scam a um patamar industrial.
Fonte ↗O FBI emitiu um alerta sobre uma onda de ataques de "OAuth consent phishing" mirando pessoas proeminentes, familiares e conhecidos próximos em aplicativos de mensagens. A vítima é induzida a aprovar uma tela legítima de permissão OAuth, achando que está liberando acesso a um contato ou serviço confiável, mas na prática concede a um app malicioso a capacidade de ler e-mails, enviar mensagens e acessar dados em seu nome. O golpe é particularmente perigoso porque não depende de roubar senha nenhuma e sobrevive à troca de senha da vítima.
Fonte ↗A Microsoft atribuiu a grupos como Storm-3121 (ligado ao ShinyHunters) e Storm-3032 (marca Helix) uma campanha de engenharia social que se passa por suporte técnico para convencer funcionários a "atualizar" passkeys, MFA ou configurações de SSO. As vítimas caem em páginas de phishing adversary-in-the-middle que capturam credenciais e sessões, dando acesso a SharePoint, Outlook, OneDrive e apps conectados como Salesforce e Slack. Os dados são exfiltrados lentamente, ao longo de horas ou dias, e depois usados em esquemas de extorsão pelos mesmos grupos que já operam no ecossistema ShinyHunters/Scattered Spider.
Fonte ↗Pesquisadores da INKY identificaram, entre junho e agosto de 2026, uma campanha de phishing que usa arquivos SVG contendo JavaScript malicioso para redirecionar vítimas a páginas de roubo de credenciais que imitam Microsoft 365, Google Workspace e Adobe. Os e-mails, disfarçados de notificação de mensagem de voz perdida, são enviados em horário comercial para parecerem legítimos, e muitas das páginas finais funcionam como proxies adversary-in-the-middle capazes de capturar sessão autenticada e derrotar MFA. O uso de SVG é atraente para o atacante porque muitos filtros de e-mail tratam esse formato como imagem inofensiva, não como conteúdo executável.
Fonte ↗Um ataque à plataforma de email marketing Brevo permitiu o envio de phishing pela própria conta oficial de newsletter da Trezor, atingindo 347 mil endereços cadastrados. O email simulava um alerta crítico de segurança e levava a vítima a um app falso que pedia a frase de recuperação da carteira — 2.500 pessoas chegaram a clicar no link antes da Trezor derrubar o domínio.
Fonte ↗Um estudo acadêmico monta um honeypot telefônico com personas de IA atendendo números reais dos EUA e mede, com metodologia auditável, quanta ligação indesejada é feita por máquina e quanta usa voz sintetizada. O achado central é que ao menos um quarto das ligações não solicitadas já é gerada por máquina, mas quase nenhuma se declara como tal — e os detectores comerciais de voz sintética ainda erram de forma significativa.
Fonte ↗Criminosos comprometeram o provedor de e-mail terceirizado da Trezor e dispararam mensagens de phishing a partir do endereço legítimo help@trezor.io, alegando uma falha inexistente no microcontrolador STM32 usado nas carteiras frias da empresa. A isca criava urgência de segurança para levar o usuário a clicar em um link malicioso, com o objetivo final de capturar a seed phrase da carteira. A Trezor derrubou o domínio falso e orientou os clientes a ignorar o e-mail e nunca inserir a frase de recuperação em nenhum site.
Fonte ↗Mensagens de texto aparentemente enviadas por engano — como um convite para jantar destinado a outra pessoa — são, na verdade, uma técnica de triagem usada por golpistas para identificar números ativos e pessoas propensas a interagir com estranhos. Responder, mesmo só para corrigir o mal-entendido, sinaliza ao criminoso que aquele número é um alvo produtivo para campanhas futuras de engenharia social.
Fonte ↗Com a clonagem de voz por IA cada vez mais acessível e convincente, cresce a recomendação de que famílias combinem uma palavra ou frase-código secreta para confirmar identidade em ligações suspeitas, especialmente em golpes de "sequestro virtual" onde um criminoso finge ter um parente em perigo. A matéria cita que um em cada quatro americanos já recebeu uma ligação com voz clonada e que boa parte não conseguiu diferenciá-la da voz real. A defesa proposta é barata e não depende de tecnologia: um segredo compartilhado que o golpista, sem acesso à conversa original, não tem como reproduzir.
Fonte ↗Um homem de Ohio foi condenado a 15 anos de prisão por uma série de crimes cibernéticos que incluem perseguição online (cyberstalking) e sextorsão de múltiplas vítimas usando conteúdo pornográfico gerado por inteligência artificial. O caso ilustra como ferramentas de IA generativa vêm sendo incorporadas a esquemas de extorsão, ampliando o alcance e o poder de coerção sobre as vítimas.
Fonte ↗Pesquisadores entrevistaram 17 voluntários que praticam "scambaiting" — a prática de se passar por vítima para investigar, expor e desperdiçar o tempo de golpistas de Technical Support Scams (TSS), o golpe da falsa central de suporte técnico. O estudo, aceito na ACM CCS 2026, conclui que essa comunidade acumula conhecimento operacional sobre os golpistas que frequentemente falta à própria pesquisa acadêmica sobre o tema, mas carece de suporte estruturado.
Fonte ↗Pesquisadores da ZeroBEC identificaram uma atualização significativa no kit de phishing-as-a-service Greatness, que agora combina ataques adversary-in-the-middle (AiTM) com roubo de token de sessão e phishing de código de dispositivo, mirando contas corporativas do Microsoft 365, Google Workspace, iCloud e Yahoo. A evolução torna o kit capaz de contornar autenticação multifator tradicional, ampliando o risco para organizações que dependem apenas de MFA baseado em senha temporária.
Fonte ↗Um cluster de ameaças batizado de PREY-0058 está comprometendo executivos de alto escalão em ambientes Microsoft 365 usando apenas engenharia social por telefone, sem qualquer malware. Os atacantes se passam por suporte de TI interno, capturam credenciais e aprovações de MFA em tempo real e sequestram a sessão para drenar dados de SharePoint, OneDrive, Exchange e Box antes de exigir resgate.
Fonte ↗Analistas identificaram uma campanha de phishing em larga escala que abusa de seis serviços legítimos do Google (Meet, Search, DoubleClick, Custom Search, Image Search e Tag Manager) como redirecionadores abertos antes de levar a vítima ao site fraudulento. O golpe segue duas trilhas: roubo de credenciais forçando duas submissões de senha, ou instalação de um acesso remoto (ScreenConnect) disfarçado de verificação de identidade. Dados roubados são exfiltrados via bot do Telegram após validação por consulta de registros MX, o que ajuda os atacantes a filtrar pesquisadores de segurança e ambientes de sandbox.
Fonte ↗A Kaspersky publicou um guia sobre os sinais que denunciam lojas e sites fraudulentos mesmo quando o navegador não exibe nenhum alerta de segurança, já que o cadeado HTTPS só garante criptografia da conexão, não a idoneidade de quem está do outro lado. O texto lista táticas de pressão psicológica (contadores regressivos, estoque "quase esgotado"), sinais visuais de amadorismo e categorias comuns de golpe, da loja que nunca entrega ao golpe de investimento em cripto.
Fonte ↗O ator conhecido como ChenLun opera desde o Telegram o 'Outsider Phishing Kit', um phishing-as-a-service com mais de 267 templates prontos mirando bancos, PayPal, operadoras de telefonia, governos e e-commerces em 54 países. Mesmo após uma ação da Google e a 'Operation Ghost Hook' em junho de 2026, a operação registrou mais de 700 novos domínios em um único mês, sustentada por um modelo descentralizado de afiliados. O kit rouba cartões, credenciais e contorna MFA em tempo real via WebSocket, com distribuição majoritariamente por SMS (smishing).
Fonte ↗O grupo iraniano Mirage Kitten está abordando engenheiros de software no LinkedIn com falsas ofertas de vaga em fintechs e empresas de aviação no Egito, Etiópia e Afeganistão. O 'teste técnico' enviado à vítima é, na verdade, um projeto trojanizado hospedado num link Amazon S3 legítimo, distribuindo os malwares NodeRabbit e PollCat. O golpe usa um truque inédito de engenharia social: proibir explicitamente o uso de assistentes de IA na revisão do código, justamente porque uma IA identificaria a importação maliciosa.
Fonte ↗Pesquisadores da Zimperium identificaram uma campanha ampla que se passa por recrutadores de RH de marcas como Amazon, Apple, FIFA, Boeing e Deloitte, conduzindo entrevistas falsas altamente realistas com candidatos a emprego. O golpe usa a técnica Browser-in-the-Browser (BitB), que simula uma janela de navegador de login (ex.: OAuth) dentro da própria página, e é ainda mais perigoso em dispositivos móveis, onde não há barra de endereço visível para o usuário conferir a autenticidade. O kit filtra e-mails pessoais, mirando exclusivamente contas corporativas, e ao capturar o login obtém tokens OAuth e comunicações internas para movimentação lateral na empresa da vítima.
Fonte ↗Um problema no processo de verificação de e-mail da Lenovo permitia que qualquer pessoa registrasse um Lenovo ID usando o endereço de e-mail de outra pessoa sem confirmação adicional. Como o Dropbox aceitava login via Lenovo ID confiando na alegação da Lenovo sobre a posse do e-mail, atacantes conseguiram sequestrar cerca de 5 mil contas Dropbox entre 4 e 21 de agosto de 2026, sem precisar da senha original, chegando a visualizar e baixar arquivos das vítimas.
Fonte ↗Pesquisadores da Group-IB identificaram o Balonx, uma plataforma de phishing-as-a-service cujo módulo 'CallFlow' elimina a necessidade de um operador humano em golpes de vishing (phishing por voz). O sistema combina GPT-4o-mini para gerar respostas, ElevenLabs e OpenAI Voice para sintetizar uma voz realista de suposto atendente bancário, e Whisper para transcrever em tempo real as respostas da vítima, tornando a ligação praticamente indistinguível de um call center real. Um painel permite a um único operador monitorar e, se necessário, assumir centenas de ligações fraudulentas simultâneas.
Fonte ↗Um serviço batizado de 'Nexus' passou a vender na dark web digitalizações de mais de 153 milhões de carteiras de motorista de cidadãos dos EUA e Canadá, além de milhões de outros documentos de identidade e cartões médicos. O jornalista Brian Krebs rastreou a origem dos dados até a IDScan.net, empresa de verificação de identidade usada por locadoras de veículos, varejistas e cassinos, levando o FBI a abrir investigação formal. O vazamento expõe milhões de pessoas — incluindo autoridades públicas — a fraude de abertura de crédito e outros golpes de identidade.
Fonte ↗Pesquisadores da Fortra registraram alta de 40% no segundo trimestre de 2026 em ataques de 'SEO poisoning' com cloaking, apelidados de Chameleon, que usam domínios typosquatted para posicionar páginas de phishing no topo de buscas por termos como 'portal do cliente' e 'login de cartão de crédito' de bancos. A técnica é desenhada especificamente para enganar scanners automatizados de segurança, mostrando conteúdo limpo a eles e a página falsa apenas a vítimas reais. O resultado prático é furto de credenciais bancárias por um caminho que o usuário acredita ser confiável: o próprio buscador.
Fonte ↗A empresa de segurança Huntress documentou cinco casos em 2026 de operadores ligados à Coreia do Norte, rastreados como 'FAMOUS CHOLLIMA', que conseguiram vagas legítimas de TI em empresas ocidentais usando documentos falsificados e identidades roubadas. Os operadores usam dispositivos de KVM remoto, VPNs e proxies para simular presença local, executam o trabalho de fato e desviam parte do salário para financiar o regime norte-coreano. O caso ilustra como fraude de identidade e engenharia social contra processos de contratação (RH) viraram vetor de financiamento ilícito e evasão de sanções.
Fonte ↗Dois cidadãos nigerianos foram extraditados aos Estados Unidos e acusados de operar um esquema de sextorsão financeira que resultou na morte de dois adolescentes, no Mississippi e na Carolina do Norte. O golpe usava perfis falsos em redes sociais para obter imagens íntimas e depois extorquir pagamentos em bitcoin sob ameaça de divulgação. Os réus enfrentam pena mínima obrigatória de 30 anos de prisão.
Fonte ↗Pesquisadores da Malwarebytes identificaram uma técnica em que criminosos enviam SMS inofensivos, como se fossem destinados a outra pessoa, para descobrir quais números respondem e quem tem perfil colaborativo. Quem responde "você errou o número" acaba sinalizando aos golpistas que a linha está ativa e que a pessoa é solícita, virando alvo prioritário para fraudes futuras.
Fonte ↗A Cisco Talos identificou o JWR, uma plataforma de phishing-as-a-service que transmite ao vivo, via WebSocket criptografado, a tela da vítima para o atacante enquanto ela preenche dados de cartão, CVV, senha, 2FA e documentos como passaporte. Isso permite ao golpista interagir em tempo real e guiar a vítima para maximizar o roubo, e as campanhas já miram autoridades de trânsito e serviços postais na Ásia e nos Emirados Árabes com pretexto de multas e taxas de entrega.
Fonte ↗O Google Threat Intelligence Group identificou uma campanha de vishing direcionada a funcionários de hedge funds e empresas financeiras, atribuída ao grupo de extorsão UNC6671, antigo BlackFile. Os atacantes ligam para os números pessoais dos funcionários se passando por TI interna, alegam migrações urgentes ou atualizações de MFA/FIDO2, e conduzem as vítimas a portais falsos que capturam credenciais e códigos de autenticação multifator por meio de infraestrutura adversary-in-the-middle. Uma vez dentro, automatizam a extração de dados de ambientes Microsoft 365 e Okta.
Fonte ↗Um relatório da Group-IB compara os desfechos de dois bancos atingidos pela mesma campanha de malware bancário GoldFactory, que já infectou cerca de 11 mil dispositivos na Indonésia, Tailândia e Vietnã e causou entre US$ 1,5 e 2 milhões em prejuízos. Enquanto o mercado registra fraude bem-sucedida em cerca de 0,25% dos aparelhos comprometidos, a instituição que unificou detecção, atribuição e resposta a incidentes reduziu essa taxa para 0,027% — nove vezes menor. O caso mostra que a arquitetura de resposta a fraude, e não apenas a detecção do malware em si, é o que determina o prejuízo final.
Fonte ↗Um artigo da ESET (WeLiveSecurity) descreve como ferramentas de inteligência artificial eliminaram a barreira técnica que antes limitava o reconhecimento detalhado de vítimas a criminosos mais sofisticados. Hoje, a IA consegue cruzar em minutos fotos, publicações e conexões espalhadas em redes sociais para montar perfis completos, usados tanto em phishing altamente personalizado quanto na criação de deepfakes para extorsão e golpes de sextorsão.
Fonte ↗Pesquisadores testaram, em estudo de laboratório com 12 participantes, todas as 25 combinações possíveis entre cinco tipos de engenharia social (phishing, spear-phishing, vishing, smishing e pop-ups) e cinco fatores psicológicos (autoridade, confiança, ganância, curiosidade e um quinto fator), medindo qual combinação convence mais. A mais eficaz foi spear-phishing explorando ganância; pop-ups com autoridade, smishing com autoridade e vishing com curiosidade não convenceram ninguém.
Fonte ↗A Group-IB identificou o WindRelay, um novo malware Android distribuído por meio de ligações em que golpistas se passam por funcionários de banco e induzem a vítima a instalar um app de "suporte". Uma vez com acesso remoto ao aparelho, os criminosos tomam empréstimos em nome da vítima, capturam dados de cartão e concluem transações fraudulentas usando o PIN informado durante a própria ligação. Um caso documentado mostrou o ataque completo, do primeiro contato ao roubo, em apenas 13 minutos.
Fonte ↗Pesquisadores da OX Security encontraram 24 pacotes no npm e em mirrors como UNPKG e npmmirror hospedando páginas HTML que imitam a verificação Cloudflare Turnstile, redirecionando visitantes para sites maliciosos independentemente do resultado do captcha. A técnica abusa da reputação de domínios legítimos de infraestrutura de desenvolvimento para contornar filtros de segurança que normalmente bloqueariam domínios de phishing recém-criados.
Fonte ↗A plataforma criminosa AnonyMousKIT, ativa desde início de 2024, usa agentes de IA com personas falsas — por voz, e-mail e SMS — para se passar pela Apple e extrair passcode, credenciais de iCloud e códigos de dois fatores de vítimas de roubo de iPhone. Com esses dados, os operadores desativam o Find My e o Activation Lock para revender os aparelhos, numa estrutura com mais de 500 domínios e 168 "revendedores", com 90% das chamadas direcionadas ao Brasil.
Fonte ↗A Group-IB expôs o Balonx Sistema, uma plataforma de Phishing-as-a-Service operada a partir do México que já mirou mais de 20 instituições financeiras, incluindo o Banamex. O serviço combina páginas de phishing em tempo real que interceptam códigos de segunda fator, um RAT para Android distribuído pela própria página falsa e um módulo de vishing com IA (CallFlow) capaz de sustentar até 30 ligações simultâneas com voz sintética. Uma falha operacional dos próprios criminosos, com repositórios no GitHub vazando código-fonte e credenciais, permitiu o mapeamento completo da operação.
Fonte ↗Pesquisadores da Universidade Ben Gurion, liderados por Yisroel Mirsky, compararam conversas conduzidas por chatbots de IA com as de golpistas humanos reais na fase de construção de confiança do "pig butchering" e descobriram que a IA foi surpreendentemente eficaz — em algumas medidas, mais convincente que os próprios golpistas humanos. Antes de serem avisados, quase nenhum participante suspeitou de estar conversando com uma IA.
Fonte ↗Um relatório da seguradora cibernética Resilience mostra que perdas ligadas a phishing, engenharia social e fraude de transferência saltaram de 17,7% dos sinistros pagos no primeiro semestre de 2024 para 85,3% no mesmo período de 2026 — o maior salto registrado em cinco anos de comparações da empresa. O CISO da Resilience recomenda ampliar simulações de ataque para voz, SMS e ferramentas de colaboração, não só e-mail.
Fonte ↗A Consumer Federation of America estima que consumidores nos EUA perderam US$ 148 bilhões em golpes no último ano, um salto de 22% sobre 2024 — muito acima dos US$ 20,8 bilhões oficialmente registrados pelo FBI IC3. Golpes envolvendo criptomoedas respondem por mais da metade das perdas relatadas, com idosos como o grupo mais visado e prejuízo médio de US$ 38.500 por vítima. O relatório aponta a subnotificação, estimada em 7,1 vezes os números oficiais, como a principal razão da distância entre estatística oficial e realidade.
Fonte ↗A CrowdStrike registrou aumento de 2 vezes em intrusões via vishing (phishing por voz) e de 15 vezes em ataques de "device code phishing" nos últimos seis meses. Em ambos os casos, o criminoso engana a vítima por telefone ou por um fluxo de login legítimo baseado em OAuth para obter acesso a contas corporativas sem precisar quebrar senha ou autenticação multifator. Grupos rastreados como CORDIAL SPIDER e SNARKY SPIDER já conseguem roubar dados em menos de cinco minutos após o primeiro contato com a vítima.
Fonte ↗Um estudo comparou a capacidade de 82 profissionais de TI e seis detectores automáticos de identificar áudio gerado por três gerações de sintetizadores de voz (2019, 2022 e 2024). A precisão de detecção despencou de cerca de 90% nos sintetizadores antigos para 48% no ElevenLabs, mesmo com os ouvintes avisados da presença de deepfakes, e caiu para apenas 9% de acerto estrito quando somente uma frase de um áudio era sintética.
Fonte ↗Um estudo em larga escala testou a suscetibilidade de adultos americanos a golpes de vishing (phishing por voz) gerados por seis modelos de síntese de voz de ponta, incluindo ElevenLabs e Gemini, comparando com vozes humanas reais em cinco categorias de golpe. A taxa de adesão às solicitações fraudulentas chegou a 36% no cenário "parente em apuros" e 16,5% em média entre todas as categorias, com o modelo Sesame alcançando persuasão equivalente ou até superior à de vozes humanas.
Fonte ↗Uma campanha de Business Email Compromise analisada pela KnowBe4 mostra um e-mail forjado, simulando comunicação interna do Metropolitan Bank and Trust Company sobre uma transferência SWIFT pendente, entregando um script ofuscado que carrega o infostealer Agent Tesla inteiramente em memória, sem gravar o payload final em disco. O malware varre 21 módulos de coleta de credenciais — navegadores, Outlook, Discord, cofre de credenciais do Windows — antes de exfiltrar tudo via FTP, mirando departamentos financeiros para viabilizar fraude de pagamento.
Fonte ↗Um criminoso, provavelmente ligado a operações de ransomware-as-a-service, está contatando vítimas antes mesmo do ataque se tornar público, se passando por uma firma de recuperação chamada "Ransom Busters". Ele cobra entre US$ 20 mil e US$ 60 mil prometendo apagar dados roubados ou entregar chaves de descriptografia, mas provavelmente é apenas o próprio operador do ataque monetizando a vítima duas vezes.
Fonte ↗O grupo Famous Chollima, ligado à Coreia do Norte, está se passando por recrutadores no LinkedIn (e também Discord, Telegram e email) oferecendo vagas remotas bem remuneradas para atrair candidatos a um processo seletivo falso. No fim do processo, a vítima é induzida por um pretexto técnico a colar comandos no terminal do próprio computador, instalando um RAT.
Fonte ↗O MacSync Stealer é um infostealer para macOS que rouba senhas de Keychain e navegador, chaves SSH, credenciais AWS e ativos de wallets como Ledger e Trezor, distribuído via técnica ClickFix. A Microsoft conseguiu ligar mais de 30 domínios diferentes à mesma campanha analisando padrões de comportamento (sequências de requisições, uploads em chunks, criação de arquivos temporários) em vez de depender de listas de domínios maliciosos, que os operadores trocam constantemente.
Fonte ↗A Microsoft registrou cerca de 7,6 bilhões de ameaças de phishing por email no Q2 2026, com destaque para um ataque de Business Email Compromise automatizado que atingiu mais de 67 mil usuários em 42 mil organizações em menos de três horas. O relatório também aponta crescimento de 19% em ataques de phishing via Microsoft Teams entre março e abril, plataforma que tende a contornar filtros de segurança de email tradicionais.
Fonte ↗Golpistas estão trocando links tradicionais por códigos QR em e-mails para escapar dos filtros antiphishing, já que a URL maliciosa fica codificada como imagem e não como texto analisável. A técnica empurra a vítima do ambiente corporativo, mais protegido, para o smartphone pessoal, onde há menos camadas de defesa, e é usada tanto para roubo de credenciais e tokens de MFA quanto para fraude financeira via aplicativos de pagamento com dados pré-preenchidos. O artigo cita que QR codes maliciosos já apareceram em cerca de 11% dos e-mails de phishing no primeiro semestre de 2026 e que o grupo Kimsuky já usou a tática em campanhas de espionagem.
Fonte ↗Uma falha de autorização no sistema de rastreamento de pedidos da fabricante de hardware wallets SafePal expôs nome, e-mail, endereço, telefone e histórico de compras de 39.798 clientes. A empresa confirma que seed phrases e chaves privadas não vazaram, mas os dados já estão sendo usados em ligações e e-mails de phishing que se passam por suporte técnico pedindo 'atualização de firmware' do dispositivo X1.
Fonte ↗Distribuído via campanhas ClickFix com páginas falsas no GitHub, o AmnesiaStealer é um infostealer para macOS com um módulo de streaming que duplica o perfil do navegador da vítima, abre uma instância headless e transmite a tela ao atacante a cerca de 3fps com controle total de mouse, teclado e navegação. Isso permite operar contas já logadas — bancos, exchanges de cripto, e-mail — preservando as impressões digitais do dispositivo e da rede, o que dificulta a detecção por sistemas antifraude baseados em device fingerprinting.
Fonte ↗Pesquisadores da ReliaQuest identificaram uma campanha em que roteadores Wi-Fi de hotéis nos EUA, Índia e Arábia Saudita são comprometidos e usados para envenenamento de DNS, redirecionando hóspedes diretamente para telas falsas de login do Microsoft 365. O golpe abusa do fluxo de autenticação por código de dispositivo (device code) do OAuth, dando ao atacante uma sessão já validada por MFA sem nunca capturar a senha da vítima.
Fonte ↗Segundo relatório da Gen Digital para o primeiro semestre de 2026, golpes representaram 46% de todas as detecções de ameaças da empresa, com destaque para o crescimento de 387% em golpes de falsa autoridade (majoritariamente impersonação de governo nos EUA) e de 454% em golpes de falso parente, estes últimos já incorporando clonagem de voz por IA. Skimming de pagamento em checkouts também cresceu 212% no período.
Fonte ↗Pesquisadores da Zscaler ThreatLabz rastrearam, entre janeiro e junho de 2026, uma campanha de vishing em que atacantes primeiro inundam a caixa de entrada da vítima com spam para criar um pretexto de 'problema técnico', depois contatam via Microsoft Teams se passando por suporte de TI e induzem a vítima a conceder acesso remoto via Quick Assist. A partir daí, instalam backdoors e ferramentas de proxy para depois vender o acesso à rede comprometida a operadores de ransomware.
Fonte ↗A Kaspersky documentou o CrashStealer, um infostealer para macOS que se disfarça do utilitário nativo CrashReporter e é distribuído por meio de um site falso de uma ferramenta de videoconferência fictícia chamada 'Werkbit'. O malware usa um certificado de desenvolvedor Apple válido para contornar o Gatekeeper e rouba credenciais do Keychain, de 14 gerenciadores de senha e de 80 extensões de carteiras de criptomoeda.
Fonte ↗Um novo malware Android batizado WindRelay está sendo distribuído junto com o RAT SpyNote para executar fraudes bancárias completas em poucos minutos: o criminoso liga se passando por atendente do banco, induz a vítima a instalar um app personalizado com seu nome, assume o controle remoto do aparelho e, sem nenhum compartilhamento de tela, retransmite ao vivo os dados NFC do cartão físico enquanto solicita empréstimos pelo próprio app bancário da vítima. Pesquisadores documentaram um ataque completo — do primeiro contato ao saque — em cerca de 13 minutos.
Fonte ↗Uma pesquisa da Trustmi, divulgada pela KnowBe4, encontrou uma desconexão entre a confiança dos funcionários e sua real capacidade de identificar fraudes por engenharia social: 78% acreditam que reconheceriam uma solicitação de pagamento fraudulenta, mas 70% ainda apontam erros de digitação ou gramática como principal sinal de alerta — justamente o indicador que a IA generativa eliminou dos phishings modernos. O estudo reforça que o treinamento corporativo padrão está desatualizado frente a e-mails de phishing gerados por IA, que hoje chegam sem erros e com alta verossimilhança.
Fonte ↗A Kaspersky explica que as chamadas silenciosas — em que ninguém fala do outro lado e a ligação cai logo em seguida — não são erro técnico, mas parte de um pipeline automatizado de discagem em massa (robocalling) que testa números ativos e coleta amostras de voz e dados demográficos para clonagem de voz e priorização de alvos. Os poucos segundos de áudio captados no 'alô' já bastam para estimar sotaque, idade, gênero e horário de disponibilidade, informações usadas depois em golpes de vishing e deepfake de voz.
Fonte ↗Em análise técnica própria, a Group-IB detalha o esquema de fraude que combina o RAT SpyNote com o novo malware de retransmissão NFC WindRelay, mostrando como o golpe opera como um kit completo: acesso remoto ao app bancário da vítima para solicitar empréstimos, somado a um canal de saque físico que converte o celular infectado em um leitor de pagamento fraudulento. A empresa identificou vítimas concentradas em República Tcheca, Eslováquia e Eslovênia e propõe indicadores de detecção específicos para bancos e operadoras móveis.
Fonte ↗Pesquisadores da KnowBe4 detalharam um kit de phishing que esconde o link malicioso final atrás de um redirecionador PHP hospedado em sites legítimos comprometidos, exibindo uma tela falsa de carregamento do OneDrive e usando um cookie de fingerprint (bp_redir_sess) para bloquear scanners automatizados. As vítimas são finalmente levadas a plataformas adversary-in-the-middle como Sneaky2FA e Tycoon 2FA, que roubam sessões já autenticadas com MFA.
Fonte ↗Um vendedor em fórum de vazamentos anunciou 9,2 milhões de registros do cadastro populacional de Israel como uma violação recente, mas análise técnica mostrou que todos os campos de data param em 2005 — os dados vêm de um roubo antigo cometido por um funcionário do Ministério de Assuntos Sociais. Apesar de 'velhos', os identificadores nacionais, endereços e vínculos familiares seguem plenamente utilizáveis para fraude.
Fonte ↗A Kaspersky identificou uma campanha em que criminosos se passam por clientes interessados em produtos específicos, trocam e-mails para ganhar confiança e só então enviam o link malicioso, geralmente disfarçado de um documento em PDF que exige login corporativo. O objetivo final é capturar e-mail e senha corporativos das vítimas, usando inclusive modelos de linguagem para redigir mensagens convincentes.
Fonte ↗Um funcionário da IEH Corporation, fabricante de conectores para uso militar e aeroespacial, inseriu credenciais do Microsoft 365 em uma página de login falsa após clicar em um link enviado por um atacante que se passou por um contato comercial. O invasor obteve acesso à caixa de e-mail e criou regras maliciosas para manter persistência, expondo e-mails, dados de clientes e documentos de engenharia potencialmente sujeitos às regulações ITAR/EAR.
Fonte ↗O grupo rastreado como UNC6671 (também conhecido como Redact, Pink, Falcon e Helix) ligou para funcionários de mais de 200 empresas fingindo ser o helpdesk de TI, induzindo-os a "atualizar" MFA em sites falsos de passkey. As credenciais e códigos de segundo fator capturados em tempo real permitiram sequestro de contas em Microsoft 365 e Okta, seguido de roubo de dados e extorsão. Entre as vítimas confirmadas estão gestoras como Blackstone, KKR, Apollo, Bain Capital e Moody's, com pagamentos somando mais de US$ 10 milhões em Bitcoin.
Fonte ↗Criminosos estão usando fotos roubadas de criadoras reais do OnlyFans, animadas com IA e vozes sintéticas, para construir identidades falsas no TikTok e atrair fãs para conversas privadas no Snapchat. Depois de cobrar pagamentos via Cash App sob promessa de conteúdo exclusivo ou chat ao vivo, os golpistas desaparecem sem entregar nada. O esquema produz duas vítimas: os fãs que perdem dinheiro e as criadoras reais, que têm a imagem usada sem consentimento e enfrentam seguidores enganados.
Fonte ↗Uma campanha ativa de ClickFix está enganando usuários de macOS para colar e executar comandos maliciosos no Terminal, instalando um infostealer escrito em Go. O malware rouba senhas salvas no navegador, dados do Keychain e carteiras de criptomoedas (Bitcoin, Ethereum, Monero, entre outras), driblando o Gatekeeper ao remover o atributo de quarentena dos arquivos. Uma característica incomum é a possibilidade de configurar o saque de apenas uma fração dos fundos da vítima, tornando o roubo mais difícil de perceber a tempo.
Fonte ↗A reportagem argumenta que a inteligência artificial generativa não criou novas fraquezas psicológicas exploradas por golpistas, mas reduziu drasticamente o custo e o tempo necessários para montar ataques de engenharia social convincentes. Exemplos citados incluem phishing sem erros gramaticais gerado em segundos, clonagem de voz em chamadas para reforçar pedidos fraudulentos e perfis falsos no LinkedIn usados como pretexto antes de contatar o suporte técnico. As recomendações de defesa giram em torno de verificação fora de banda e dupla autorização para pagamentos e mudanças administrativas sensíveis.
Fonte ↗A plataforma de phishing-as-a-service Greatness, vendida por US$ 289/mês em canais do Telegram, ampliou seu arsenal contra contas Microsoft 365 com ataques adversary-in-the-middle que capturam tokens de sessão já autenticados por MFA e phishing por device-code. A nova onda se disfarça de notificações da RingCentral, enviadas de servidores IONOS que falham em SPF/DKIM/DMARC mas atravessam filtros porque empresas costumam liberar (whitelist) o domínio legítimo da RingCentral. Com o token replicado, o atacante acessa Outlook, Teams, SharePoint e OneDrive por semanas sem precisar da senha nem burlar o MFA diretamente.
Fonte ↗Um levantamento cita que 53% das organizações sofreram ataques de impersonação direcionada no último ano, com um kit de phishing que identifica o sistema operacional da vítima em milissegundos para escolher o golpe mais eficaz — malware para Windows, coleta de credenciais para Apple, login falso monitorado ao vivo para os demais. Uma campanha de comprometimento de e-mail corporativo (BEC) chegou a atingir mais de 67 mil usuários em 42 mil organizações em menos de três horas, usando impersonação de executivos para desviar pagamentos de folha. O texto reporta ainda que o phishing assistido por IA cresceu 1.200% e que 86% dos ataques de phishing atuais já contêm algum elemento gerado por IA.
Fonte ↗A Kaspersky lançou no Secure Mail Gateway (KSMG 3.1) uma camada de detecção voltada especificamente para e-mails de Business Email Compromise redigidos por modelos de linguagem, combinando análise estatística do padrão de escrita típico de LLMs com reconhecimento de frases-chave associadas a golpes de BEC. A cobertura multilíngue (oito idiomas, incluindo português) responde ao fato de que textos gerados por IA eliminam os erros gramaticais que antes serviam como pista para funcionários identificarem e-mails fraudulentos. É um movimento defensivo direto contra a profissionalização do BEC assistido por IA.
Fonte ↗Golpistas distribuem uma versão falsa do executor de scripts Xeno para Roblox em fóruns de jogos e Discord, prometendo burlar o anti-cheat. O instalador entrega, em múltiplos estágios, um infostealer que rouba cookies, tokens de conta (Discord, Roblox, Microsoft) e dados de carteiras cripto, além de um RAT com keylogging, streaming de tela e execução remota de comandos.
Fonte ↗Uma onda de golpes vem usando chamadas de vídeo não solicitadas via FaceTime para se passar por atendentes da Apple, alegando atividade fraudulenta ou problema técnico na conta da vítima. O objetivo é induzir a vítima a entregar dados de cartão, credenciais bancárias, login da Apple ID ou até códigos de gift card sob pressão psicológica.
Fonte ↗O relatório de ameaças da ESET para o primeiro semestre de 2026 aponta nível recorde de 'quishing' — phishing via QR code — e mais que a duplicação de ataques ClickFix, técnica que engana a vítima com falsas telas de erro para que ela mesma execute comandos maliciosos. Ambas as técnicas miram diretamente o usuário final, deslocando a interação para o celular e explorando a confiança implícita das pessoas em códigos QR e mensagens de sistema.
Fonte ↗Pesquisadores da Lexfo identificaram três kits de phishing sofisticados, construídos sobre o framework open-source Evilginx, que atuam como proxy 'adversary-in-the-middle' (AiTM) contra logins do Microsoft 365. Ao interceptar a sessão de autenticação em tempo real, os kits capturam cookies de sessão e tokens OAuth, tornando o MFA tradicional ineficaz depois que a vítima autentica normalmente na página falsa.
Fonte ↗Pesquisadores da Hunt.io e o jornalista independente NetAskari rastrearam o vazamento do framework de RAT Android "Flying Eagle" (飞鹰), originalmente distribuído por um app falso que se passa por um serviço de uma polícia provincial chinesa. A partir de duas fingerprints técnicas de infraestrutura, mapearam 170 servidores ativos ligados a um mercado no Telegram que vende acesso pronto para roubar credenciais bancárias e de carteiras cripto por meio de telas de sobreposição (overlay). Canais de suporte no Telegram chegam a orientar operadores passo a passo sobre como esvaziar contas de Alipay e WeChat das vítimas, tratadas internamente como "fish".
Fonte ↗Uma campanha rastreada como STAC4749 usa ligações no Microsoft Teams com atacantes se passando por suporte técnico para convencer funcionários a abrir sessão de acesso remoto via Quick Assist ou pela ferramenta RemSupp. A partir daí, os criminosos instalam um backdoor via PowerShell, se escondem em entradas de registro com nomes de componentes de áudio legítimos e adicionam AnyDesk ou DWAgent como acesso reserva antes de tentar movimento lateral. Em pelo menos um caso documentado, o intervalo entre o primeiro contato no Teams e a implantação do ransomware Chaos foi inferior a 17 horas.
Fonte ↗Analistas do KnowBe4 desmontaram um kit de phishing que lê o User-Agent do navegador no instante do clique e decide, em milissegundos, qual ataque aplicar: instalação de ferramenta de acesso remoto disfarçada para usuários Windows, captura isolada de credenciais Apple/Microsoft, ou um fluxo multietapas com operador humano em tempo real para Android/Linux. O detalhe mais grave é o repasse manual de códigos de MFA capturados antes de expirarem, técnica que neutraliza a autenticação por SMS ou aplicativo na maioria dos casos.
Fonte ↗Pesquisadores identificaram uma técnica de phishing batizada de phantom squatting, em que criminosos registram domínios que modelos de linguagem costumam "inventar" como respostas a perguntas de suporte ou login. Ao analisar 913 marcas globais e mais de 685 mil consultas, o estudo encontrou 13.229 URLs maliciosas já ativas explorando esse comportamento e cerca de 250 mil domínios alucinados ainda livres para registro. Um kit de phishing chamado "Montana Empire" já incorpora a técnica em campanhas reais.
Fonte ↗Três vítimas processam a Apple alegando que um aplicativo falso do Sparrow Wallet, disponibilizado na App Store, induziu-as a inserir suas seed phrases e permitiu o roubo de cerca de US$ 1,8 milhão em Bitcoin entre maio e agosto de 2025. O desenvolvedor legítimo da carteira afirma ter alertado repetidamente a Apple sobre clones fraudulentos que continuavam disponíveis na loja mesmo após denúncias.
Fonte ↗A ReliaQuest identificou uma campanha em que atacantes comprometem gateways de Wi-Fi de hotéis e centros de conferência — explorando interfaces de gerenciamento expostas com credenciais fracas ou reutilizadas — para manipular respostas DNS e redirecionar hóspedes a páginas falsas de login do Microsoft 365, como m365-owa.com e ms365-live.com. Não é necessário e-mail de phishing nem anexo malicioso: basta o viajante se conectar à rede do hotel. O alvo são profissionais em viagem dos setores financeiro, jurídico, saúde, energia e varejo, nos EUA, Índia e Arábia Saudita.
Fonte ↗Criminosos estão enviando e-mails de sextortion que se passam pelo grupo extorsionário ShinyHunters, alegando ter invadido câmera, microfone e arquivos das vítimas para exigir US$ 2.000 em Bitcoin. Os endereços de e-mail usados vêm de vazamentos reais de empresas como Amtrak, Hallmark, Substack e Betterment, o que dá falsa credibilidade à ameaça. O próprio ShinyHunters nega envolvimento, indicando que terceiros estão reciclando dados já vazados publicamente.
Fonte ↗Pesquisadores da ReliaQuest identificaram dois novos kits de phishing-as-a-service — Jalisco e OmegaLord — voltados a burlar autenticação multifator. Jalisco abusa do fluxo de “device code” do OAuth, gerando códigos de autorização válidos em tempo real para contornar o limite de 15 minutos de expiração; OmegaLord soma a isso a coleta do número de telefone da vítima, permitindo sequestrar também o segundo fator. A técnica é perigosa porque nunca expõe a senha da vítima ao atacante — a autenticação acontece de forma “legítima” nos servidores reais do provedor.
Fonte ↗Pesquisadores da Unit 42 (Palo Alto Networks) documentaram a técnica "phantom squatting": criminosos monitoram quais URLs modelos de IA costumam inventar ao responder perguntas e registram esses domínios inexistentes antes de qualquer outra pessoa, transformando-os em armadilhas de phishing. Como usuários tendem a confiar em links sugeridos por assistentes de IA, o golpe contorna filtros de e-mail e reputação que dependem de o usuário clicar em algo suspeito.
Fonte ↗Pesquisadores da Cisco Talos identificaram o ARToken, um painel de phishing-as-a-service construído sobre a plataforma EvilTokens, que automatiza o sequestro de caixas de entrada corporativas e o disparo de ataques de Business Email Compromise (BEC) personalizados. A ferramenta mostra que o BEC deixou de ser artesanal para se tornar um serviço comercial replicável por qualquer afiliado pagante.
Fonte ↗Pesquisadores da Cisco Talos identificaram o UAT-11795, ator russo-falante ativo desde meados de 2025, distribuindo instaladores trojanizados de Zoom, Webex, MobaXterm e outras ferramentas para instalar o Starland RAT e o implante em memória WLDR. O objetivo é roubar credenciais de navegador, mapear carteiras de criptomoeda e sequestrar sessões de Discord, Telegram e Steam para uso em fraudes subsequentes.
Fonte ↗O grupo financeiramente motivado UAT-11795 distribui instaladores adulterados de softwares populares (WebEx, Zoom, MobaXterm, DBeaver, FaceIT) para instalar o novo backdoor Starland RAT. A ameaça rouba credenciais, dados do Active Directory e visa mais de 40 carteiras de criptomoedas, atingindo principalmente usuários nos EUA, além de vítimas na Alemanha, Romênia e Venezuela.
Fonte ↗A KnowBe4 relatou que o ClickFix — a técnica que faz a própria vítima copiar e executar um comando malicioso a partir de um falso erro ou CAPTCHA — se tornou o vetor de entrega de malware mais usado, contornando controles de endpoint.
Fonte ↗A Kaspersky detalhou as táticas de manipulação psicológica que golpistas usam para desligar o pensamento crítico da vítima — do medo à urgência artificial — e como reconhecê-las a tempo.
Fonte ↗Uma operação de phishing modular batizada de GitBait está mirando ao menos 12 instituições financeiras que operam no México, distribuída via WhatsApp, SMS e Telegram. A infraestrutura abusa do GitHub Pages para hospedar mais de 100 domínios com scripts ofuscados, exfiltrando as credenciais roubadas através da API pública SheetBest, que grava tudo em planilhas Google controladas pelos criminosos.
Fonte ↗A Group-IB detalhou o SniperDz, um ecossistema centralizado de Phishing-as-a-Service com mais de 80 templates prontos que imitam cerca de 30 marcas globais (PayPal, Facebook, Netflix, Steam), operando sobre mais de 900 domínios. A plataforma usa permissões de notificação do navegador para prender a vítima e monetiza o tráfego roteando-o para chamadas premium, SMS premium, fraude de investimento e geração de leads.
Fonte ↗A Group-IB identificou seis esquemas de fraude distintos e quatro grupos de ameaça explorando a Copa do Mundo 2026, com destaque para o GHOST STADIUM, operação de phishing chinesa que já registrou mais de 4.300 domínios falsos imitando a FIFA e clona com fidelidade quase perfeita o fluxo de login oficial da entidade. As perdas estimadas apenas com ingressos falsos variam de US$ 71 milhões a US$ 474 milhões, com potencial de chegar a bilhões somando todos os esquemas.
Fonte ↗Pesquisadores da ESET identificaram uma onda de sites fraudulentos que imitam o portal oficial da FIFA para a Copa do Mundo 2026, copiando layout, cores e fluxo de compra para vender ingressos e mercadorias inexistentes. As páginas usam domínios parecidos com o oficial e táticas de urgência (ingressos limitados, descontos por tempo curto) para induzir vítimas a inserir dados de pagamento e informações pessoais.
Fonte ↗A ESET reuniu os principais tipos de golpe que se intensificam durante turbulências geopolíticas, do phishing bancário disfarçado de aviso sobre o conflito ao romance scam com militares fictícios, passando por doações falsas, fraude de viagem e investimentos com falsa 'proteção contra inflação'. Segundo dados do FBI citados no artigo, romance scams renderam US$929 milhões em prejuízos em 2025, e fraudes de investimento, US$8,6 bilhões.
Fonte ↗A ESET descobriu a campanha CallPhantom, formada por 28 aplicativos no Google Play que prometiam mostrar o histórico de chamadas, SMS e WhatsApp de qualquer número, mas na verdade geravam dados aleatórios e cobravam pagamento antes de exibir o resultado falso. Os apps somaram mais de 7,3 milhões de downloads, concentrados na Índia e na região Ásia-Pacífico, antes de serem removidos.
Fonte ↗A Microsoft mapeou o cenário de ameaças por e-mail no primeiro trimestre de 2026: 8,3 bilhões de tentativas de phishing, explosão de ataques com QR code em PDFs e cerca de 10,7 milhões de golpes de BEC.
Fonte ↗A ESET descreve como golpistas exploram tanto vazamentos reais quanto inventados para disparar notificações falsas de "seu dado foi vazado", levando vítimas a clicar em links de phishing sob pressão de urgência. Com ferramentas de IA, essas mensagens hoje chegam sem os erros de português que antes as denunciavam, tornando a verificação por canal independente essencial.
Fonte ↗A ESET alerta para o golpe de "recovery scam", em que criminosos usam listas de vítimas de fraudes anteriores — as chamadas "sucker lists" — para se passar por agências de recuperação de ativos ou órgãos oficiais, cobrando taxas antecipadas para "devolver" um dinheiro que nunca existiu. O texto reforça que vítimas de fraude são alvo prioritário de uma segunda onda de golpes, exatamente quando estão mais vulneráveis e ansiosas para reaver o prejuízo.
Fonte ↗A ESET descreve como o grupo Silver Fox, ativo desde 2023, aproveita a temporada anual de declaração de imposto e mudanças de RH no Japão para enviar phishing personalizado com nomes reais de empresas, entregando o trojan de acesso remoto ValleyRAT a funcionários. O timing sazonal explora o momento em que profissionais estão mais propensos a abrir comunicações fiscais e de RH sem desconfiar.
Fonte ↗A Group-IB identificou uma campanha de smishing em larga escala no Oriente Médio e África que finge notificações de entrega falha para roubar cartões, CVVs e códigos OTP em tempo real. A operação usa domínios descartáveis e páginas otimizadas para celular, com fortes indícios de ligação ao kit de phishing-as-a-service chinês Darcula, e cresceu de forma explosiva em 2025, com picos em datas comemorativas.
Fonte ↗A Group-IB expôs a campanha GTFire, que hospeda páginas de phishing em subdomínios do Firebase (web.app) e usa links do Google Translate (translate.goog) como camada de redirecionamento para ganhar credibilidade e escapar de filtros de segurança. A operação já afetou mais de mil organizações em mais de cem países, coletando credenciais duas vezes por vítima através de um truque de "senha incorreta" antes de redirecionar ao site legítimo.
Fonte ↗Durante a temporada de declaração de impostos indonésia, criminosos usam contas falsas de WhatsApp se passando pela receita federal (DJP) para distribuir aplicativos maliciosos que imitam o app oficial Coretax, instalando trojans bancários da infraestrutura GoldFactory (Gigabud.RAT, MMRat e Taotie). O malware abusa de serviços de acessibilidade para gravar a tela, capturar credenciais e OTPs, e executar transferências automáticas, com prejuízo estimado entre US$ 1,5 e 2 milhões só na campanha local e cerca de US$ 6 milhões de impacto anual global da mesma infraestrutura MaaS.
Fonte ↗A Group-IB mapeou uma rede de cerca de 370 domínios falsos e 35 anúncios em redes sociais que imitam bancos peruanos para atrair vítimas com ofertas de empréstimo fácil, extraindo DNI, dados de cartão validados por algoritmo de Luhn, senha bancária e PIN. O esquema, sustentado por um script JavaScript ofuscado, já se expandiu para Colômbia, El Salvador, Chile e Equador.
Fonte ↗Um empresário do cantão de Schwyz, na Suíça, foi levado a transferir vários milhões de francos para uma conta na Ásia após uma série de ligações em que uma voz deepfake imitava um parceiro de confiança.
Fonte ↗Pesquisadores do Group-IB mapearam um ecossistema chinês vendido em canais do Telegram que usa dois aplicativos Android com NFC — um instalado no celular da vítima e outro no do criminoso — para retransmitir dados de cartões de pagamento em tempo real através de um servidor de comando e controle. O golpe é vendido como serviço por assinatura, com suporte ao cliente em turnos, e já teria movimentado centenas de milhares de dólares em compras fraudulentas feitas por redes de mulas em lojas físicas.
Fonte ↗Uma campanha ativa desde agosto de 2025 usa e-mails que imitam notificações do DocuSign para levar vítimas corporativas a páginas de captura de credenciais construídas com o framework LogoKit, que busca automaticamente o logo e o layout da própria empresa da vítima para dar mais credibilidade ao golpe. A infraestrutura fica hospedada em gateways IPFS e buckets S3, dificultando remoção rápida.
Fonte ↗O Group-IB documentou um esquema organizado de falsos empregos remotos que promete ganhos rápidos por tarefas simples, usando anúncios em redes sociais adaptados a dialetos e moedas locais para parecer legítimos. O golpe evolui em etapas — de coleta de dados pessoais a pedidos de depósito com promessa de retorno — até bloquear a vítima após ela investir valores maiores.
Fonte ↗Relatório da Group-IB mapeia como fraudadores no Uzbequistão combinam ligações se passando por bancos ou órgãos governamentais, criação de urgência artificial e bots no Telegram para induzir vítimas a completar verificações de identidade que, na prática, autorizam empréstimos fraudulentos em seu nome. O documento também aponta casos de fraude interna, com funcionários de bancos usando acesso privilegiado para solicitar crédito em nome de clientes. Como resposta, instituições financeiras do país passaram a adotar verificação biométrica obrigatória, ligação de confirmação e períodos de carência antes da liberação dos valores.
Fonte ↗A Group-IB detalha a evolução do grupo GoldFactory, que desde 2024 usa frameworks de instrumentação como Frida, Dobby e Pine para implantar código malicioso dentro de aplicativos bancários originais na Indonésia, Vietnã e Tailândia. Ao manter a aparência e o funcionamento do app oficial, as variantes identificadas (FriHook, SkyHook, PineHook e o novo Gigaflower) escondem sua atividade fraudulenta, abusam de serviços de acessibilidade e capturam dados financeiros e documentos de identidade. A campanha já soma mais de 11 mil dispositivos infectados e atingiu ao menos 30 instituições financeiras, normalmente após a vítima ser convencida por SMS ou Zalo, fingindo ser uma autoridade, a instalar o app adulterado.
Fonte ↗A ESET detalha como criadores de conteúdo com grande audiência são alvo prioritário de spearphishing, credential stuffing e SIM swapping justamente pela confiança acumulada junto aos seguidores. Uma vez sequestrada, a conta é usada para anunciar golpes de investimento em criptomoedas e esquemas de enriquecimento rápido, causando prejuízo financeiro direto a quem confia no influenciador.
Fonte ↗Um golpe em crescimento combina videochamada do WhatsApp, personificação de atendente bancário e pedido de compartilhamento de tela para roubar senhas, OTPs e dados bancários da vítima ao vivo. Depois de obter esse acesso visual, o golpista realiza transferências e sequestra as contas comprometidas para aplicar o mesmo golpe em novas vítimas.
Fonte ↗A Group-IB detalhou a engenharia por trás de plataformas falsas de investimento em cripto e forex, mostrando como grupos organizados dividem papéis — aliciamento, operação de contas-laranja, manutenção técnica — para manter vítimas depositando somas crescentes até o desaparecimento total. A pesquisa também mapeia artefatos técnicos, como painéis administrativos e certificados reaproveitados, que investigadores podem usar para rastrear e derrubar essas operações.
Fonte ↗A Group-IB expôs uma rede de fraude de investimento que usa deepfakes do primeiro-ministro e de ministros de Singapura para dar credibilidade a anúncios que levam a plataformas de trading fraudulentas. A operação combina uma cadeia sofisticada de domínios intermediários, técnicas de evasão de detecção e páginas que imitam veículos de imprensa legítimos como CNA e Yahoo News.
Fonte ↗A Group-IB mapeou cinco formas concretas pelas quais criminosos usam IA generativa para escalar fraude: deepfakes para suplantação de identidade, centrais de golpe com voz sintética, "dark LLMs" sem censura vendidos por assinatura, ferramentas de spam com personalização automática e kits de malware com módulos de IA embutidos. O levantamento estima US$ 350 milhões em perdas só com deepfakes no segundo trimestre de 2025, evidenciando que a IA já reduziu a barreira técnica para golpes sofisticados.
Fonte ↗Um relatório da Group-IB detalha como redes de golpe de investimento constroem funis completos de engano: vídeos deepfake de figuras públicas endossando plataformas de “IA de trading”, resenhas falsas em blogs e redes sociais coordenadas, e painéis fabricados que simulam lucros para induzir depósitos crescentes. As vítimas começam com depósitos de US$ 100 a US$ 250 e, na hora de sacar, são cobradas taxas fictícias que nunca liberam o dinheiro. O relatório lista sinais de alerta claros e a forma mais simples de verificação antes de investir.
Fonte ↗Um relatório da Group-IB descreve o funcionamento passo a passo de golpes de vishing (phishing por voz) que usam clonagem de voz por IA para se passar por chefes, familiares ou funcionários de bancos. Ferramentas como Tacotron 2, VALL-E e ElevenLabs permitem replicar tom e sotaque a partir de amostras coletadas de redes sociais, webinars ou mensagens de voz, combinadas com spoofing de caller ID para aumentar a credibilidade. Instituições financeiras relatam perdas médias de US$ 600 mil por incidente, com menos de 5% dos valores recuperados.
Fonte ↗O trojan bancário Qwizzserial, identificado pela primeira vez pela Group-IB em meados de 2024, teve forte crescimento de atividade no Uzbequistão ao se disfarçar de aplicativos legítimos e canais oficiais do governo distribuídos via Telegram. Uma vez instalado, ele intercepta SMS de bancos e códigos OTP, filtra mensagens por valor de transação e envia os dados roubados para bots do Telegram controlados pelos criminosos.
Fonte ↗Uma campanha de phishing identificada pela Group-IB usa e-mails que imitam a autoridade fiscal holandesa (Belastingdienst/MijnOverheid), alegando uma obrigação fictícia de "declaração especial de criptoativos", para levar vítimas a um site clonado que rouba seed phrases ou induz assinatura de transações maliciosas via WalletConnect. O golpe usa infraestrutura de "drainer as a service" (como o Inferno Drainer), que esvazia carteiras de forma quase instantânea e irreversível.
Fonte ↗Uma campanha de smishing identificada pela Group-IB mira usuários de um serviço de pedágio, enviando SMS sobre supostas dívidas pendentes com ameaça de multa para gerar urgência. A página de phishing usa cloaking via Google AMP para escapar de filtros, faz fingerprinting do navegador para bloquear VPNs, IPs de datacenter e ferramentas como VirusTotal e urlscan.io, e valida os dados de cartão inseridos com o algoritmo de Luhn antes de exfiltrá-los.
Fonte ↗A Group-IB documentou a expansão do Classiscam, esquema de fraude "como serviço" que usa bots de Telegram para gerar em segundos páginas falsas de marketplaces, transportadoras e até órgãos governamentais. Operadores contratados abordam vendedores em anúncios classificados, sugerem migrar a conversa para o Telegram e induzem a vítima a "confirmar o recebimento do pagamento" num site clonado que na verdade rouba dados de cartão e login bancário. Na Ásia Central a investigação encontrou dezenas de domínios ativos mirando bancos e serviços de pagamento do Uzbequistão.
Fonte ↗A Group-IB detalha o ClickFix, técnica de engenharia social que exibe um pop-up de falsa verificação — reCAPTCHA ou proteção Cloudflare — instruindo a vítima a apertar Windows+R e colar um comando que, sem ela perceber, já foi copiado automaticamente para a área de transferência pelo próprio site malicioso. O comando executa PowerShell ofuscado via mshta.exe, entregando principalmente o infostealer Lumma C2, focado em carteiras cripto e extensões de autenticação em dois fatores salvas no navegador, além de ferramentas de acesso remoto como DarkGate.
Fonte ↗A Group-IB mapeia como o SIM swap deixou de ser um golpe simples de engenharia social contra atendentes de operadora e virou uma fraude estruturada em etapas: primeiro coleta de dados da vítima via phishing, depois transferência ou conversão fraudulenta do número para eSIM contornando a verificação de identidade, e por fim interceptação de códigos de autenticação por SMS para assumir contas bancárias e mover dinheiro para contas-laranja. Um dos casos citados envolveu mais de 80 domínios de phishing registrados em massa para sustentar a coleta de dados que alimenta esse tipo de fraude.
Fonte ↗A Group-IB detalha um esquema no Oriente Médio que começa com infecção por malware infostealer (como o RedLine Stealer), passa por uma ligação de um falso funcionário de governo e termina com a instalação de ferramentas de acesso remoto que permitem ao golpista ver a tela da vítima em tempo real. Enquanto a vítima acredita estar resolvendo uma reclamação em um portal oficial, o golpista captura dados do cartão e os códigos OTP exibidos na tela.
Fonte ↗Uma campanha de phishing identificada pela Group-IB mirou funcionários de mais de 30 empresas em 12 setores e 15 países, hospedando páginas maliciosas em domínios confiáveis como Adobe InDesign e DocuSign e usando redirecionamentos via Google AMP para escapar de gateways de segurança de e-mail (SEG). As páginas ainda personalizavam o logo da empresa-alvo via API pública, tornando a isca muito mais convincente.
Fonte ↗Pesquisadores da Group-IB compararam duas famílias de infostealers vietnamitas, VietCredCare e DuckTail, que sequestram contas comerciais do Facebook para fraude publicitária e revenda de acessos. A análise ocorre após a prisão de mais de 20 pessoas em maio de 2024 ligadas a essas campanhas, mas mostra que apenas um dos grupos parece ter sido afetado pela operação policial. O caso ilustra como o roubo de credenciais de contas de anúncio virou um negócio criminoso estruturado e resiliente.
Fonte ↗Pesquisadores identificaram uma campanha coordenada de phishing que se passa por serviços postais em Croácia, Romênia, Sérvia e Eslovênia, usando páginas clonadas quase idênticas às oficiais para roubar dados pessoais e cobrar 'taxas de entrega' fraudulentas. A infraestrutura por trás do golpe parece atender vários países ao mesmo tempo, sugerindo um operador único ou um kit de phishing compartilhado entre grupos regionais.
Fonte ↗A Group-IB documentou um esquema recorrente de venda de lenha e pellets falsos que usa anúncios no Facebook para atrair consumidores franceses durante o inverno, com golpistas operando a partir da Costa do Marfim, Camarões e Benin. O golpe combina documentação comercial falsificada com engenharia social paciente para convencer vítimas a fazer transferências bancárias diretas via IBAN, das quais não há volta.
Fonte ↗A Group-IB descobriu uma campanha de fraude de investimento (pig butchering) que distribui um app de trading falso — batizado de UniShadowTrade — via lojas oficiais de iOS/Android e sites de phishing, atingindo vítimas na Ásia-Pacífico, Europa, Oriente Médio e África. O aplicativo nada mais é do que uma casca que carrega uma interface web fraudulenta simulando operações de investimento, usada para induzir depósitos crescentes até bloquear qualquer saque.
Fonte ↗A Group-IB identificou e rastreou o GXC Team, um grupo que vende phishing-as-a-service com IA e malware Android para interceptar OTP, já tendo mirado 36 bancos espanhóis e outras 30 instituições em países como EUA, Reino Unido, Eslováquia e Brasil. O diferencial do grupo é combinar kits de phishing tradicionais com chamadas de voz geradas por IA para induzir vítimas a entregar códigos de autenticação, elevando bastante a sofisticação do golpe.
Fonte ↗RAT para Android derivado do código vazado do Spymax dá controle total sobre o aparelho da vítima, incluindo captura de credenciais bancárias, SMS e câmera. Distribuído via aplicativos falsos que imitam marketplaces, salões de beleza, restaurantes e até um 'centro antifraude' fictício, já foi usado em campanhas em Singapura contra cerca de dez marcas diferentes desde 2023.
Fonte ↗Cassinos e casas de apostas online enfrentam uma nova geração de fraude potencializada por IA generativa: contas sintéticas com histórico comportamental convincente para abusar de bônus, deepfakes de atendentes para roubo de credenciais e navegadores anti-detecção para mascarar dispositivo e localização. A recomendação central é investir em detecção também baseada em IA e em compartilhamento de inteligência entre operadores.
Fonte ↗O LabHost era uma plataforma canadense de 'phishing-as-a-service' que vendia, por assinatura de US$ 250-300/mês, kits prontos para atacar clientes de bancos como Royal Bank, BMO, CIBC e o sistema de transferências Interac. Com módulos para disparo de SMS em massa e captura de códigos 2FA em tempo real, a operação foi derrubada por ação policial internacional com apoio de inteligência da Group-IB.
Fonte ↗A Group-IB identificou uma campanha com cerca de 900 páginas fraudulentas, todas construídas a partir do mesmo template, que se passam por 35 marcas conhecidas em 13 países para atrair vítimas com promessas de retorno financeiro rápido. O esquema combina anúncios pagos, coleta de dados pessoais e ligações de pressão para levar a vítima a depositar valores iniciais pequenos antes de bloqueá-la.
Fonte ↗A Group-IB mapeou dois vetores de fraude contra passageiros: sites falsos que imitam companhias aéreas para roubar dados de cartão sob pretexto de sorteios ou pesquisas, e centrais de atendimento fraudulentas que se passam por suporte oficial para extrair credenciais e instalar RATs. Contas de milhas comprometidas alimentam ainda um mercado de revenda na dark web.
Fonte ↗A Group-IB atualizou o retrato do Classiscam, esquema de "fraude como serviço" nascido na Rússia em 2019 que automatiza phishing contra usuários de sites de classificados e marketplaces. Com bots do Telegram gerando páginas falsas de pagamento em segundos e uma hierarquia agora altamente especializada, o esquema já foi identificado em 79 países, imitando 251 marcas e movimentando US$ 64,5 milhões.
Fonte ↗A Group-IB descreveu o Gigabud, trojan bancário Android ativo desde 2022 com duas variantes: uma versão RAT que abusa do serviço de acessibilidade para gravar tela e simular apps de bancos, e uma versão "Loan" que se disfarça de aplicativo de empréstimo fácil para coletar documentos e dados bancários. O malware já mirou mais de 99 instituições financeiras e órgãos governamentais em Tailândia, Indonésia, Vietnã, Filipinas e Peru.
Fonte ↗A Group-IB detalhou a estrutura da CryptosLabs, um esquema de fraude de investimento ativo desde 2018 (com raízes em 2015) que chegou a operar cerca de 350 domínios fraudulentos em mais de 80 servidores, imitando mais de 40 instituições financeiras, fintechs e corretoras de cripto reais para atrair falantes de francês. A engenharia é industrial: kit de golpe reutilizável, call center com falsos gestores de investimento e rede de lavagem de dinheiro, tudo sob fachada de empresas legalmente constituídas. O prejuízo estimado às vítimas passa de € 480 milhões ao longo de mais de quatro anos de operação.
Fonte ↗Entre fevereiro e março de 2023, a Group-IB identificou mais de 3.200 perfis fraudulentos se passando por suporte técnico da Meta/Facebook, ativos em 23 idiomas e com indícios de operação desde dezembro de 2020. O golpe usava marcas oficiais e alegações de violação de política para levar vítimas a mais de 220 sites de phishing, coletando tanto senha quanto cookies de sessão — o que permite tomar a conta mesmo sem a senha. Contas comprometidas eram reutilizadas para golpear os próprios seguidores da vítima, criando um efeito cascata.
Fonte ↗A Group-IB documentou a operação da PostalFurious, grupo de língua chinesa ativo desde 2021 que envia SMS falsos de "entrega não realizada" imitando transportadoras reais para induzir a vítima a acessar sites de phishing com typosquatting. As páginas filtram por geolocalização e tipo de dispositivo para só exibir o golpe a alvos relevantes, coletando dados de cartão de crédito e código OTP para realizar transações não autorizadas. A infraestrutura, baseada em kits de phishing em Laravel com painel administrativo, foi rastreada até templates preparados também para França e outros países da Ásia-Pacífico.
Fonte ↗A Group-IB mapeou uma campanha de falsas vagas de emprego que, entre janeiro de 2022 e janeiro de 2023, criou mais de 2.400 páginas fraudulentas no Facebook imitando mais de 40 marcas conhecidas, com foco no setor de logística (64% dos casos). O golpe usa salários irreais para atrair candidatos desesperados, redireciona para páginas de phishing que imitam o login de redes sociais e, após o roubo das credenciais, sequestra a conta e exige resgate para devolvê-la à vítima. Egito, Arábia Saudita e Argélia concentram a maior parte das páginas identificadas.
Fonte ↗Artigo da Group-IB detalha o funcionamento das redes de mulas financeiras (money mules), pessoas recrutadas para movimentar fundos ilícitos entre contas bancárias em nome de criminosos. O texto explica o ciclo completo do esquema, desde o recrutamento de vítimas até a lavagem via criptoativos, além de indicadores técnicos usados por bancos e exchanges para detectar essas contas. As perdas globais associadas a esse tipo de fraude são estimadas em cerca de US$ 1,6 trilhão.
Fonte ↗Pesquisadores da Group-IB identificaram mais de mil domínios falsos imitando uma conhecida agência saudita de recrutamento de trabalhadores domésticos, promovidos via anúncios em redes sociais e conversas no WhatsApp. O golpe combina phishing de dados pessoais, cobrança de uma falsa "taxa de processamento" e, na etapa final, captura de credenciais bancárias e código de autenticação de dois fatores das vítimas.
Fonte ↗A Group-IB analisa como golpes online se tornaram uma indústria profissionalizada, com sindicatos criminosos globais desenvolvendo roteiros de fraude e distribuindo-os para operações locais, apoiados por call centers organizados e campanhas de marketing digital. O artigo cita que os golpes causaram mais de US$ 55 bilhões em prejuízos em 2021, um crescimento de 15,7% em relação ao ano anterior, com jovens de 18 a 30 anos cada vez mais visados.
Fonte ↗A Group-IB detalha a campanha 0ktapus, que usou smishing e kits de phishing simples para roubar quase 10 mil credenciais e mais de 5 mil códigos MFA de funcionários de mais de 130 organizações, majoritariamente empresas de TI e nuvem nos EUA e Canadá. O golpe evoluiu para um ataque em cadeia de suprimento, comprometendo Twilio, Mailchimp e Klaviyo e usando esse acesso para atingir ainda mais vítimas, incluindo carteiras de criptomoedas.
Fonte ↗A Group-IB mapeou um esquema de fraude de investimento que usa anúncios em redes sociais com celebridades falsas para atrair vítimas com promessa de lucro fácil a partir de um depósito inicial baixo. Após o contato inicial, call centers pressionam a vítima por telefone, exibem um painel falso de ganhos e induzem depósitos sucessivos até negar qualquer saque. A rede identificada soma mais de 11 mil domínios, afetando países como Reino Unido, Alemanha, Bélgica e Portugal.
Fonte ↗A Group-IB identificou uma campanha massiva de phishing com 240 domínios interligados que se passam por 27 instituições financeiras do Vietnã, ativa desde maio de 2019. Vítimas são atraídas por SMS, Telegram, WhatsApp e comentários falsos em redes sociais, levadas a um site que lista os bancos e depois a um portal clonado que rouba tanto a senha quanto o código OTP em tempo real, permitindo acesso imediato à conta real.
Fonte ↗Pesquisadores da Group-IB identificaram uma campanha de golpe de "duplicação de criptomoedas" veiculada em transmissões ao vivo falsas no YouTube, usando vídeos manipulados de figuras conhecidas do mercado cripto. Em poucos dias, os criminosos arrecadaram cerca de US$ 1,6 milhão, distribuídos por dezenas de carteiras. Algumas variantes do golpe iam além, solicitando a seed phrase da carteira da vítima, o que dava aos fraudadores controle total sobre os fundos.
Fonte ↗A Group-IB mapeou três grupos distintos de criminosos que se passavam pela operadora postal SingPost para roubar dados pessoais e bancários de vítimas em Singapura, somando dezenas de vítimas confirmadas e prejuízo de centenas de milhares de dólares. As táticas variavam de SMS fraudulentos com cobrança de falsas taxas de entrega até aplicativos Android trojanizados que interceptavam SMS para roubar códigos OTP, e até phishing em tempo real com técnica man-in-the-middle para burlar a autenticação de dois fatores.
Fonte ↗A Group-IB revelou uma infraestrutura industrializada de phishing direcionado que gera links únicos e personalizados para cada vítima, usando geolocalização, fuso horário e idioma para aumentar a credibilidade do golpe e escapar de detecção automatizada. O esquema explora mais de 120 marcas internacionais — sobretudo empresas de telecomunicações — como isca de falsas premiações, atingindo milhares de vítimas por dia em dezenas de países.
Fonte ↗A Group-IB descobriu uma operação de golpe em grande escala que usa mais de 4.300 páginas fraudulentas hospedadas no Blogspot, se passando por mais de 47 marcas de telecomunicações e outras empresas conhecidas em 16 países árabes. O esquema usa a isca clássica de 'sorteio premiado' para coletar dados pessoais e induzir as vítimas a compartilhar o golpe em massa pelo WhatsApp, redirecionando depois para phishing, golpes de romance e instaladores maliciosos. A campanha está ativa desde 2013 e teve alta de 54% em novas páginas só no primeiro semestre de 2021.
Fonte ↗O CERT-GIB do Group-IB descobriu uma campanha de phishing via SMS (smishing) que usa mais de 750 domínios para se passar por bancos e outras instituições holandesas, aplicando uma tática batizada de 'corte o cartão' para roubar credenciais bancárias completas. A técnica combina engano digital com uma etapa física inédita no país: pedir que a vítima corte o próprio cartão (que continua funcional) e agende a 'retirada' por um suposto funcionário do banco. As páginas de phishing usavam geolocalização e ferramentas anti-bot para evitar detecção, chegando a durar 6 dias no ar contra a média de 24 horas.
Fonte ↗A Group-IB expôs a Fraud Family, um grupo criminoso de língua neerlandesa que vendia e alugava kits de phishing completos, com painéis de controle em tempo real, para outros golpistas atacarem residentes da Holanda e Bélgica. O esquema incluía bypass de autenticação de dois fatores e spoofing de marcas de bancos e empresas conhecidas. A investigação, feita em colaboração com a polícia holandesa, resultou na prisão de dois suspeitos.
Fonte ↗Pesquisadores da Group-IB destrincharam o esquema FontPack, que injeta scripts maliciosos em sites legítimos comprometidos para exibir avisos falsos de atualização de Flash Player, navegador ou fontes do sistema. Ao clicar, a vítima baixa o infostealer RedLine, que rouba credenciais salvas, dados de autocomplete e informações bancárias armazenadas no navegador. O artigo também faz a atribuição do kit a um ator identificado como DR.PREDATOR, que o distribuiu gratuitamente em fóruns underground.
Fonte ↗A Group-IB analisou um grande banco de dados de kits de phishing usados para clonar páginas de login de marcas conhecidas. O estudo mostra como esses kits são vendidos e reutilizados por criminosos para roubar credenciais e dados bancários em massa. Mais de 260 marcas foram identificadas como alvo em 2020, com destaque para serviços de e-mail, financeiros e plataformas online.
Fonte ↗A Group-IB detalhou o Classiscam, um esquema de fraude automatizada nascido na Rússia em 2019 que já opera como um verdadeiro 'scam as a service', com bots do Telegram gerando páginas falsas de transportadoras para roubar dados de cartão de vítimas de sites de classificados. O esquema conta com cerca de 40 grupos criminosos, mais de 5 mil golpistas cadastrados e movimenta acima de 6 milhões de dólares por ano em mais de 40 países.
Fonte ↗Pesquisadores identificaram uma campanha de phishing chamada PerSwaysion que abusa dos serviços legítimos de compartilhamento de arquivos da Microsoft (Sway, SharePoint e OneNote) para roubar credenciais de Office 365. O golpe já comprometeu mais de 150 executivos de alto escalão em empresas financeiras, escritórios de advocacia e imobiliárias, principalmente nos EUA, Canadá e centros financeiros globais.
Fonte ↗O grupo cibercriminoso Cobalt Gang manteve em 2019 uma campanha ativa de phishing direcionada a funcionários de instituições financeiras ao redor do mundo. A campanha usa e-mails com arquivos IMG contendo atalhos maliciosos que, por meio de PowerShell ofuscado e bypass de UAC, instalam um stager que baixa o Cobalt Strike para dar aos atacantes acesso persistente aos sistemas bancários comprometidos.
Fonte ↗Um grande júri federal da Califórnia indiciou o russo Searzhudin Tamirlanovich Aktulaev, extraditado após ser detido no Chipre, por operar uma campanha de phishing que, entre 2016 e 2017, usou 255 contas falsas para enviar planilhas Excel maliciosas a 80 mil freelancers de uma plataforma de emprego. Os malwares TVRAT e DarkVNC davam controle remoto total sobre as máquinas infectadas via TeamViewer e VNC, coletando credenciais de e-commerce e dados pessoais posteriormente usados para fraude.
Fonte ↗O Group-IB documentou uma campanha com 95 sites falsos imitando 19 grandes marcas de aviação (Emirates, Lufthansa, Delta, Air France, entre outras), anunciados via posts no Facebook prometendo passagens grátis. Ao 'ganhar' o sorteio fictício, a vítima entrega nome, e-mail, telefone, data de nascimento e endereço, e ainda é induzida a curtir e compartilhar a publicação, recrutando os próprios amigos para o golpe.
Fonte ↗