105 publicações marcadas com esta tag.
Uma operação batizada de DoppelCart mantém uma rede de mais de 119 mil domínios que simulam e-commerces legítimos para coletar dados de cartão de pagamento de consumidores no momento do checkout falso. A escala do número de domínios sugere infraestrutura automatizada de criação em massa de lojas fraudulentas, um modelo que dificulta o takedown por operar em volume e rotatividade constante.
Fonte ↗Pesquisadores da ZeroBEC identificaram uma atualização significativa no kit de phishing-as-a-service Greatness, que agora combina ataques adversary-in-the-middle (AiTM) com roubo de token de sessão e phishing de código de dispositivo, mirando contas corporativas do Microsoft 365, Google Workspace, iCloud e Yahoo. A evolução torna o kit capaz de contornar autenticação multifator tradicional, ampliando o risco para organizações que dependem apenas de MFA baseado em senha temporária.
Fonte ↗Um cluster de ameaças batizado de PREY-0058 está comprometendo executivos de alto escalão em ambientes Microsoft 365 usando apenas engenharia social por telefone, sem qualquer malware. Os atacantes se passam por suporte de TI interno, capturam credenciais e aprovações de MFA em tempo real e sequestram a sessão para drenar dados de SharePoint, OneDrive, Exchange e Box antes de exigir resgate.
Fonte ↗Um banco de dados com 32,8 milhões de registros de usuários ligados a publicações da Condé Nast, incluindo e-mail, nome, endereço e data de nascimento, está à venda por US$ 15 mil em um fórum russo de cibercrime. A combinação de dados reais de identidade e endereço abre caminho para golpes de personificação da própria marca contra assinantes.
Fonte ↗Pesquisadores da CloudSEK acessaram o painel de controle do BigBear 2.0, um phishing-as-a-service construído sobre o Evilginx2 que rouba credenciais, códigos de MFA e cookies de sessão do Microsoft 365 em tempo real. O serviço já exfiltrou mais de 5 mil credenciais e derrubou a autenticação multifator completa de 258 organizações em mais de 40 países.
Fonte ↗A fabricante de carteiras de hardware Trezor ampliou para 81 mil o número de clientes afetados por um vazamento originado na sua parceira de logística ShipMonk, explorada via SQL injection zero-day no Metabase. Os dados expostos são nome, endereço, e-mail, telefone e número do pedido — informação suficiente para golpistas montarem contatos falsos convincentes atrás da seed phrase da carteira.
Fonte ↗Pesquisadores identificaram campanhas de phishing que usam caracteres Unicode invisíveis do bloco Tags para fragmentar palavras-chave sensíveis, como “funding” e “credit”, e assim escapar de filtros de e-mail baseados em listas de termos. A Microsoft chegou a registrar picos de 2,37 milhões de mensagens diárias em uma dessas campanhas, embora tenha barrado mais de 99% delas usando outros sinais de detecção.
Fonte ↗Analistas identificaram uma campanha de phishing em larga escala que abusa de seis serviços legítimos do Google (Meet, Search, DoubleClick, Custom Search, Image Search e Tag Manager) como redirecionadores abertos antes de levar a vítima ao site fraudulento. O golpe segue duas trilhas: roubo de credenciais forçando duas submissões de senha, ou instalação de um acesso remoto (ScreenConnect) disfarçado de verificação de identidade. Dados roubados são exfiltrados via bot do Telegram após validação por consulta de registros MX, o que ajuda os atacantes a filtrar pesquisadores de segurança e ambientes de sandbox.
Fonte ↗A Kaspersky publicou um guia sobre os sinais que denunciam lojas e sites fraudulentos mesmo quando o navegador não exibe nenhum alerta de segurança, já que o cadeado HTTPS só garante criptografia da conexão, não a idoneidade de quem está do outro lado. O texto lista táticas de pressão psicológica (contadores regressivos, estoque "quase esgotado"), sinais visuais de amadorismo e categorias comuns de golpe, da loja que nunca entrega ao golpe de investimento em cripto.
Fonte ↗O ator conhecido como ChenLun opera desde o Telegram o 'Outsider Phishing Kit', um phishing-as-a-service com mais de 267 templates prontos mirando bancos, PayPal, operadoras de telefonia, governos e e-commerces em 54 países. Mesmo após uma ação da Google e a 'Operation Ghost Hook' em junho de 2026, a operação registrou mais de 700 novos domínios em um único mês, sustentada por um modelo descentralizado de afiliados. O kit rouba cartões, credenciais e contorna MFA em tempo real via WebSocket, com distribuição majoritariamente por SMS (smishing).
Fonte ↗Pesquisadores da Zimperium identificaram uma campanha ampla que se passa por recrutadores de RH de marcas como Amazon, Apple, FIFA, Boeing e Deloitte, conduzindo entrevistas falsas altamente realistas com candidatos a emprego. O golpe usa a técnica Browser-in-the-Browser (BitB), que simula uma janela de navegador de login (ex.: OAuth) dentro da própria página, e é ainda mais perigoso em dispositivos móveis, onde não há barra de endereço visível para o usuário conferir a autenticidade. O kit filtra e-mails pessoais, mirando exclusivamente contas corporativas, e ao capturar o login obtém tokens OAuth e comunicações internas para movimentação lateral na empresa da vítima.
Fonte ↗Pesquisadores da Group-IB identificaram o Balonx, uma plataforma de phishing-as-a-service cujo módulo 'CallFlow' elimina a necessidade de um operador humano em golpes de vishing (phishing por voz). O sistema combina GPT-4o-mini para gerar respostas, ElevenLabs e OpenAI Voice para sintetizar uma voz realista de suposto atendente bancário, e Whisper para transcrever em tempo real as respostas da vítima, tornando a ligação praticamente indistinguível de um call center real. Um painel permite a um único operador monitorar e, se necessário, assumir centenas de ligações fraudulentas simultâneas.
Fonte ↗Pesquisadores da Fortra registraram alta de 40% no segundo trimestre de 2026 em ataques de 'SEO poisoning' com cloaking, apelidados de Chameleon, que usam domínios typosquatted para posicionar páginas de phishing no topo de buscas por termos como 'portal do cliente' e 'login de cartão de crédito' de bancos. A técnica é desenhada especificamente para enganar scanners automatizados de segurança, mostrando conteúdo limpo a eles e a página falsa apenas a vítimas reais. O resultado prático é furto de credenciais bancárias por um caminho que o usuário acredita ser confiável: o próprio buscador.
Fonte ↗A Cisco Talos identificou o JWR, uma plataforma de phishing-as-a-service que transmite ao vivo, via WebSocket criptografado, a tela da vítima para o atacante enquanto ela preenche dados de cartão, CVV, senha, 2FA e documentos como passaporte. Isso permite ao golpista interagir em tempo real e guiar a vítima para maximizar o roubo, e as campanhas já miram autoridades de trânsito e serviços postais na Ásia e nos Emirados Árabes com pretexto de multas e taxas de entrega.
Fonte ↗O Google Threat Intelligence Group identificou uma campanha de vishing direcionada a funcionários de hedge funds e empresas financeiras, atribuída ao grupo de extorsão UNC6671, antigo BlackFile. Os atacantes ligam para os números pessoais dos funcionários se passando por TI interna, alegam migrações urgentes ou atualizações de MFA/FIDO2, e conduzem as vítimas a portais falsos que capturam credenciais e códigos de autenticação multifator por meio de infraestrutura adversary-in-the-middle. Uma vez dentro, automatizam a extração de dados de ambientes Microsoft 365 e Okta.
Fonte ↗Um artigo da ESET (WeLiveSecurity) descreve como ferramentas de inteligência artificial eliminaram a barreira técnica que antes limitava o reconhecimento detalhado de vítimas a criminosos mais sofisticados. Hoje, a IA consegue cruzar em minutos fotos, publicações e conexões espalhadas em redes sociais para montar perfis completos, usados tanto em phishing altamente personalizado quanto na criação de deepfakes para extorsão e golpes de sextorsão.
Fonte ↗Pesquisadores testaram, em estudo de laboratório com 12 participantes, todas as 25 combinações possíveis entre cinco tipos de engenharia social (phishing, spear-phishing, vishing, smishing e pop-ups) e cinco fatores psicológicos (autoridade, confiança, ganância, curiosidade e um quinto fator), medindo qual combinação convence mais. A mais eficaz foi spear-phishing explorando ganância; pop-ups com autoridade, smishing com autoridade e vishing com curiosidade não convenceram ninguém.
Fonte ↗Pesquisadores da OX Security encontraram 24 pacotes no npm e em mirrors como UNPKG e npmmirror hospedando páginas HTML que imitam a verificação Cloudflare Turnstile, redirecionando visitantes para sites maliciosos independentemente do resultado do captcha. A técnica abusa da reputação de domínios legítimos de infraestrutura de desenvolvimento para contornar filtros de segurança que normalmente bloqueariam domínios de phishing recém-criados.
Fonte ↗A plataforma criminosa AnonyMousKIT, ativa desde início de 2024, usa agentes de IA com personas falsas — por voz, e-mail e SMS — para se passar pela Apple e extrair passcode, credenciais de iCloud e códigos de dois fatores de vítimas de roubo de iPhone. Com esses dados, os operadores desativam o Find My e o Activation Lock para revender os aparelhos, numa estrutura com mais de 500 domínios e 168 "revendedores", com 90% das chamadas direcionadas ao Brasil.
Fonte ↗A Group-IB expôs o Balonx Sistema, uma plataforma de Phishing-as-a-Service operada a partir do México que já mirou mais de 20 instituições financeiras, incluindo o Banamex. O serviço combina páginas de phishing em tempo real que interceptam códigos de segunda fator, um RAT para Android distribuído pela própria página falsa e um módulo de vishing com IA (CallFlow) capaz de sustentar até 30 ligações simultâneas com voz sintética. Uma falha operacional dos próprios criminosos, com repositórios no GitHub vazando código-fonte e credenciais, permitiu o mapeamento completo da operação.
Fonte ↗A CrowdStrike registrou aumento de 2 vezes em intrusões via vishing (phishing por voz) e de 15 vezes em ataques de "device code phishing" nos últimos seis meses. Em ambos os casos, o criminoso engana a vítima por telefone ou por um fluxo de login legítimo baseado em OAuth para obter acesso a contas corporativas sem precisar quebrar senha ou autenticação multifator. Grupos rastreados como CORDIAL SPIDER e SNARKY SPIDER já conseguem roubar dados em menos de cinco minutos após o primeiro contato com a vítima.
Fonte ↗Um estudo em larga escala testou a suscetibilidade de adultos americanos a golpes de vishing (phishing por voz) gerados por seis modelos de síntese de voz de ponta, incluindo ElevenLabs e Gemini, comparando com vozes humanas reais em cinco categorias de golpe. A taxa de adesão às solicitações fraudulentas chegou a 36% no cenário "parente em apuros" e 16,5% em média entre todas as categorias, com o modelo Sesame alcançando persuasão equivalente ou até superior à de vozes humanas.
Fonte ↗A Group-IB expôs o "Balonx Sistema", uma plataforma de Phishing-as-a-Service vendida por assinatura semanal (a partir de 3.000 MXN) que mira mais de 20 instituições financeiras mexicanas, incluindo o Banamex. A operação combina páginas de phishing com WebSocket em tempo real para burlar MFA, um módulo de vishing automatizado por IA generativa (GPT-4o-mini, ElevenLabs, Whisper) e um RAT Android disfarçado de app de "proteção bancária".
Fonte ↗A Microsoft registrou cerca de 7,6 bilhões de ameaças de phishing por email no Q2 2026, com destaque para um ataque de Business Email Compromise automatizado que atingiu mais de 67 mil usuários em 42 mil organizações em menos de três horas. O relatório também aponta crescimento de 19% em ataques de phishing via Microsoft Teams entre março e abril, plataforma que tende a contornar filtros de segurança de email tradicionais.
Fonte ↗Golpistas estão trocando links tradicionais por códigos QR em e-mails para escapar dos filtros antiphishing, já que a URL maliciosa fica codificada como imagem e não como texto analisável. A técnica empurra a vítima do ambiente corporativo, mais protegido, para o smartphone pessoal, onde há menos camadas de defesa, e é usada tanto para roubo de credenciais e tokens de MFA quanto para fraude financeira via aplicativos de pagamento com dados pré-preenchidos. O artigo cita que QR codes maliciosos já apareceram em cerca de 11% dos e-mails de phishing no primeiro semestre de 2026 e que o grupo Kimsuky já usou a tática em campanhas de espionagem.
Fonte ↗Uma falha de autorização no sistema de rastreamento de pedidos da fabricante de hardware wallets SafePal expôs nome, e-mail, endereço, telefone e histórico de compras de 39.798 clientes. A empresa confirma que seed phrases e chaves privadas não vazaram, mas os dados já estão sendo usados em ligações e e-mails de phishing que se passam por suporte técnico pedindo 'atualização de firmware' do dispositivo X1.
Fonte ↗Pesquisadores da ReliaQuest identificaram uma campanha em que roteadores Wi-Fi de hotéis nos EUA, Índia e Arábia Saudita são comprometidos e usados para envenenamento de DNS, redirecionando hóspedes diretamente para telas falsas de login do Microsoft 365. O golpe abusa do fluxo de autenticação por código de dispositivo (device code) do OAuth, dando ao atacante uma sessão já validada por MFA sem nunca capturar a senha da vítima.
Fonte ↗Segundo relatório da Gen Digital para o primeiro semestre de 2026, golpes representaram 46% de todas as detecções de ameaças da empresa, com destaque para o crescimento de 387% em golpes de falsa autoridade (majoritariamente impersonação de governo nos EUA) e de 454% em golpes de falso parente, estes últimos já incorporando clonagem de voz por IA. Skimming de pagamento em checkouts também cresceu 212% no período.
Fonte ↗Pesquisadores da Zscaler ThreatLabz rastrearam, entre janeiro e junho de 2026, uma campanha de vishing em que atacantes primeiro inundam a caixa de entrada da vítima com spam para criar um pretexto de 'problema técnico', depois contatam via Microsoft Teams se passando por suporte de TI e induzem a vítima a conceder acesso remoto via Quick Assist. A partir daí, instalam backdoors e ferramentas de proxy para depois vender o acesso à rede comprometida a operadores de ransomware.
Fonte ↗Uma pesquisa da Trustmi, divulgada pela KnowBe4, encontrou uma desconexão entre a confiança dos funcionários e sua real capacidade de identificar fraudes por engenharia social: 78% acreditam que reconheceriam uma solicitação de pagamento fraudulenta, mas 70% ainda apontam erros de digitação ou gramática como principal sinal de alerta — justamente o indicador que a IA generativa eliminou dos phishings modernos. O estudo reforça que o treinamento corporativo padrão está desatualizado frente a e-mails de phishing gerados por IA, que hoje chegam sem erros e com alta verossimilhança.
Fonte ↗Pesquisadores da KnowBe4 detalharam um kit de phishing que esconde o link malicioso final atrás de um redirecionador PHP hospedado em sites legítimos comprometidos, exibindo uma tela falsa de carregamento do OneDrive e usando um cookie de fingerprint (bp_redir_sess) para bloquear scanners automatizados. As vítimas são finalmente levadas a plataformas adversary-in-the-middle como Sneaky2FA e Tycoon 2FA, que roubam sessões já autenticadas com MFA.
Fonte ↗A Kaspersky identificou uma campanha em que criminosos se passam por clientes interessados em produtos específicos, trocam e-mails para ganhar confiança e só então enviam o link malicioso, geralmente disfarçado de um documento em PDF que exige login corporativo. O objetivo final é capturar e-mail e senha corporativos das vítimas, usando inclusive modelos de linguagem para redigir mensagens convincentes.
Fonte ↗Um funcionário da IEH Corporation, fabricante de conectores para uso militar e aeroespacial, inseriu credenciais do Microsoft 365 em uma página de login falsa após clicar em um link enviado por um atacante que se passou por um contato comercial. O invasor obteve acesso à caixa de e-mail e criou regras maliciosas para manter persistência, expondo e-mails, dados de clientes e documentos de engenharia potencialmente sujeitos às regulações ITAR/EAR.
Fonte ↗O grupo rastreado como UNC6671 (também conhecido como Redact, Pink, Falcon e Helix) ligou para funcionários de mais de 200 empresas fingindo ser o helpdesk de TI, induzindo-os a "atualizar" MFA em sites falsos de passkey. As credenciais e códigos de segundo fator capturados em tempo real permitiram sequestro de contas em Microsoft 365 e Okta, seguido de roubo de dados e extorsão. Entre as vítimas confirmadas estão gestoras como Blackstone, KKR, Apollo, Bain Capital e Moody's, com pagamentos somando mais de US$ 10 milhões em Bitcoin.
Fonte ↗A reportagem argumenta que a inteligência artificial generativa não criou novas fraquezas psicológicas exploradas por golpistas, mas reduziu drasticamente o custo e o tempo necessários para montar ataques de engenharia social convincentes. Exemplos citados incluem phishing sem erros gramaticais gerado em segundos, clonagem de voz em chamadas para reforçar pedidos fraudulentos e perfis falsos no LinkedIn usados como pretexto antes de contatar o suporte técnico. As recomendações de defesa giram em torno de verificação fora de banda e dupla autorização para pagamentos e mudanças administrativas sensíveis.
Fonte ↗A plataforma de phishing-as-a-service Greatness, vendida por US$ 289/mês em canais do Telegram, ampliou seu arsenal contra contas Microsoft 365 com ataques adversary-in-the-middle que capturam tokens de sessão já autenticados por MFA e phishing por device-code. A nova onda se disfarça de notificações da RingCentral, enviadas de servidores IONOS que falham em SPF/DKIM/DMARC mas atravessam filtros porque empresas costumam liberar (whitelist) o domínio legítimo da RingCentral. Com o token replicado, o atacante acessa Outlook, Teams, SharePoint e OneDrive por semanas sem precisar da senha nem burlar o MFA diretamente.
Fonte ↗Um levantamento cita que 53% das organizações sofreram ataques de impersonação direcionada no último ano, com um kit de phishing que identifica o sistema operacional da vítima em milissegundos para escolher o golpe mais eficaz — malware para Windows, coleta de credenciais para Apple, login falso monitorado ao vivo para os demais. Uma campanha de comprometimento de e-mail corporativo (BEC) chegou a atingir mais de 67 mil usuários em 42 mil organizações em menos de três horas, usando impersonação de executivos para desviar pagamentos de folha. O texto reporta ainda que o phishing assistido por IA cresceu 1.200% e que 86% dos ataques de phishing atuais já contêm algum elemento gerado por IA.
Fonte ↗Uma investigação da Flare em milhares de posts de fóruns underground mostra como o RAT Android BTMOB, antes vendido por uma única operação, virou um mercado disputado por revendedores, vendedores de código-fonte e cópias piratas mais baratas. O malware combina controle remoto do smartphone com kits de phishing e roubo de credenciais, reduzindo a barreira técnica para criminosos aplicarem fraude bancária móvel em escala.
Fonte ↗Pesquisadores identificaram e nomearam o 'transaction simulation phishing', técnica que usa contratos inteligentes programados para exibir um resultado benigno na simulação da wallet, mas desviar os fundos na execução real na blockchain. Entre agosto de 2024 e junho de 2025 foram encontrados mais de 4.000 contratos maliciosos, responsáveis por 5.700 vítimas e cerca de US$ 3,48 milhões em prejuízo, majoritariamente na Ethereum.
Fonte ↗O relatório de ameaças da ESET para o primeiro semestre de 2026 aponta nível recorde de 'quishing' — phishing via QR code — e mais que a duplicação de ataques ClickFix, técnica que engana a vítima com falsas telas de erro para que ela mesma execute comandos maliciosos. Ambas as técnicas miram diretamente o usuário final, deslocando a interação para o celular e explorando a confiança implícita das pessoas em códigos QR e mensagens de sistema.
Fonte ↗Pesquisadores da Lexfo identificaram três kits de phishing sofisticados, construídos sobre o framework open-source Evilginx, que atuam como proxy 'adversary-in-the-middle' (AiTM) contra logins do Microsoft 365. Ao interceptar a sessão de autenticação em tempo real, os kits capturam cookies de sessão e tokens OAuth, tornando o MFA tradicional ineficaz depois que a vítima autentica normalmente na página falsa.
Fonte ↗Analistas do KnowBe4 desmontaram um kit de phishing que lê o User-Agent do navegador no instante do clique e decide, em milissegundos, qual ataque aplicar: instalação de ferramenta de acesso remoto disfarçada para usuários Windows, captura isolada de credenciais Apple/Microsoft, ou um fluxo multietapas com operador humano em tempo real para Android/Linux. O detalhe mais grave é o repasse manual de códigos de MFA capturados antes de expirarem, técnica que neutraliza a autenticação por SMS ou aplicativo na maioria dos casos.
Fonte ↗Pesquisadores identificaram uma técnica de phishing batizada de phantom squatting, em que criminosos registram domínios que modelos de linguagem costumam "inventar" como respostas a perguntas de suporte ou login. Ao analisar 913 marcas globais e mais de 685 mil consultas, o estudo encontrou 13.229 URLs maliciosas já ativas explorando esse comportamento e cerca de 250 mil domínios alucinados ainda livres para registro. Um kit de phishing chamado "Montana Empire" já incorpora a técnica em campanhas reais.
Fonte ↗A ReliaQuest identificou uma campanha em que atacantes comprometem gateways de Wi-Fi de hotéis e centros de conferência — explorando interfaces de gerenciamento expostas com credenciais fracas ou reutilizadas — para manipular respostas DNS e redirecionar hóspedes a páginas falsas de login do Microsoft 365, como m365-owa.com e ms365-live.com. Não é necessário e-mail de phishing nem anexo malicioso: basta o viajante se conectar à rede do hotel. O alvo são profissionais em viagem dos setores financeiro, jurídico, saúde, energia e varejo, nos EUA, Índia e Arábia Saudita.
Fonte ↗Pesquisadores da ReliaQuest identificaram dois novos kits de phishing-as-a-service — Jalisco e OmegaLord — voltados a burlar autenticação multifator. Jalisco abusa do fluxo de “device code” do OAuth, gerando códigos de autorização válidos em tempo real para contornar o limite de 15 minutos de expiração; OmegaLord soma a isso a coleta do número de telefone da vítima, permitindo sequestrar também o segundo fator. A técnica é perigosa porque nunca expõe a senha da vítima ao atacante — a autenticação acontece de forma “legítima” nos servidores reais do provedor.
Fonte ↗Pesquisadores da Unit 42 (Palo Alto Networks) documentaram a técnica "phantom squatting": criminosos monitoram quais URLs modelos de IA costumam inventar ao responder perguntas e registram esses domínios inexistentes antes de qualquer outra pessoa, transformando-os em armadilhas de phishing. Como usuários tendem a confiar em links sugeridos por assistentes de IA, o golpe contorna filtros de e-mail e reputação que dependem de o usuário clicar em algo suspeito.
Fonte ↗Pesquisadores da Cisco Talos identificaram o ARToken, um painel de phishing-as-a-service construído sobre a plataforma EvilTokens, que automatiza o sequestro de caixas de entrada corporativas e o disparo de ataques de Business Email Compromise (BEC) personalizados. A ferramenta mostra que o BEC deixou de ser artesanal para se tornar um serviço comercial replicável por qualquer afiliado pagante.
Fonte ↗Pesquisadores compararam um classificador clássico (TF-IDF + regressão logística) com um modelo DistilBERT ajustado, treinados em mais de 82 mil e-mails de seis bases públicas, para detectar phishing. Ambos superaram 98% de acurácia em dados limpos, mas despencaram para cerca de 64% quando testados contra e-mails de phishing deliberadamente alterados para escapar da detecção — queda de mais de 34 pontos percentuais em ambos os modelos. O estudo reforça que acurácia em dados de teste "limpos" não prevê robustez real contra atacantes adaptativos.
Fonte ↗Uma operação conjunta entre autoridades da Alemanha e dos Estados Unidos desmantelou a infraestrutura central do Kratos, serviço de phishing por assinatura usado por cerca de 1.800 clientes criminosos para atacar vítimas em ao menos 35 países. A plataforma automatizava a criação de páginas falsas de login da Microsoft para roubar credenciais e sequestrar contas, chegando a rodar cerca de 15 mil campanhas por mês. O desenvolvedor do serviço foi preso na Indonésia e mais de 200 servidores foram apreendidos.
Fonte ↗A KnowBe4 relatou que o ClickFix — a técnica que faz a própria vítima copiar e executar um comando malicioso a partir de um falso erro ou CAPTCHA — se tornou o vetor de entrega de malware mais usado, contornando controles de endpoint.
Fonte ↗A Group-IB descreveu um esquema de venda de ingressos falsos que combina abordagem por redes sociais e sites que imitam distribuidoras oficiais para roubar dados de pagamento de fãs em busca de shows concorridos.
Fonte ↗A Kaspersky detalhou as táticas de manipulação psicológica que golpistas usam para desligar o pensamento crítico da vítima — do medo à urgência artificial — e como reconhecê-las a tempo.
Fonte ↗Uma operação de phishing modular batizada de GitBait está mirando ao menos 12 instituições financeiras que operam no México, distribuída via WhatsApp, SMS e Telegram. A infraestrutura abusa do GitHub Pages para hospedar mais de 100 domínios com scripts ofuscados, exfiltrando as credenciais roubadas através da API pública SheetBest, que grava tudo em planilhas Google controladas pelos criminosos.
Fonte ↗A Group-IB detalhou o SniperDz, um ecossistema centralizado de Phishing-as-a-Service com mais de 80 templates prontos que imitam cerca de 30 marcas globais (PayPal, Facebook, Netflix, Steam), operando sobre mais de 900 domínios. A plataforma usa permissões de notificação do navegador para prender a vítima e monetiza o tráfego roteando-o para chamadas premium, SMS premium, fraude de investimento e geração de leads.
Fonte ↗A Group-IB expôs a operação Error 524 Decoy, que já registrou 4.389 domínios de phishing imitando mais de 260 marcas em 72 países, com 60% da atividade concentrada na América Latina (México, Chile e Colômbia à frente). A técnica usa páginas de erro do Cloudflare falsificadas para escapar de análise, geofencing por país e dispositivo, e exfiltração de dados de cartão em tempo real via WebSocket criptografado.
Fonte ↗A Group-IB identificou seis esquemas de fraude distintos e quatro grupos de ameaça explorando a Copa do Mundo 2026, com destaque para o GHOST STADIUM, operação de phishing chinesa que já registrou mais de 4.300 domínios falsos imitando a FIFA e clona com fidelidade quase perfeita o fluxo de login oficial da entidade. As perdas estimadas apenas com ingressos falsos variam de US$ 71 milhões a US$ 474 milhões, com potencial de chegar a bilhões somando todos os esquemas.
Fonte ↗A Cyble (CRIL) documentou o OverlayPhantom, trojan Android que mira mais de 180 apps financeiros em dez países, usando overlays em WebView e transmissão de tela em tempo real via MediaProjection.
Fonte ↗A ESET reuniu os principais tipos de golpe que se intensificam durante turbulências geopolíticas, do phishing bancário disfarçado de aviso sobre o conflito ao romance scam com militares fictícios, passando por doações falsas, fraude de viagem e investimentos com falsa 'proteção contra inflação'. Segundo dados do FBI citados no artigo, romance scams renderam US$929 milhões em prejuízos em 2025, e fraudes de investimento, US$8,6 bilhões.
Fonte ↗A Microsoft mapeou o cenário de ameaças por e-mail no primeiro trimestre de 2026: 8,3 bilhões de tentativas de phishing, explosão de ataques com QR code em PDFs e cerca de 10,7 milhões de golpes de BEC.
Fonte ↗A ESET descreve como golpistas exploram tanto vazamentos reais quanto inventados para disparar notificações falsas de "seu dado foi vazado", levando vítimas a clicar em links de phishing sob pressão de urgência. Com ferramentas de IA, essas mensagens hoje chegam sem os erros de português que antes as denunciavam, tornando a verificação por canal independente essencial.
Fonte ↗A ESET descreve como o grupo Silver Fox, ativo desde 2023, aproveita a temporada anual de declaração de imposto e mudanças de RH no Japão para enviar phishing personalizado com nomes reais de empresas, entregando o trojan de acesso remoto ValleyRAT a funcionários. O timing sazonal explora o momento em que profissionais estão mais propensos a abrir comunicações fiscais e de RH sem desconfiar.
Fonte ↗A Group-IB identificou uma campanha de smishing em larga escala no Oriente Médio e África que finge notificações de entrega falha para roubar cartões, CVVs e códigos OTP em tempo real. A operação usa domínios descartáveis e páginas otimizadas para celular, com fortes indícios de ligação ao kit de phishing-as-a-service chinês Darcula, e cresceu de forma explosiva em 2025, com picos em datas comemorativas.
Fonte ↗A Group-IB expôs a campanha GTFire, que hospeda páginas de phishing em subdomínios do Firebase (web.app) e usa links do Google Translate (translate.goog) como camada de redirecionamento para ganhar credibilidade e escapar de filtros de segurança. A operação já afetou mais de mil organizações em mais de cem países, coletando credenciais duas vezes por vítima através de um truque de "senha incorreta" antes de redirecionar ao site legítimo.
Fonte ↗A Group-IB mapeou uma rede de cerca de 370 domínios falsos e 35 anúncios em redes sociais que imitam bancos peruanos para atrair vítimas com ofertas de empréstimo fácil, extraindo DNI, dados de cartão validados por algoritmo de Luhn, senha bancária e PIN. O esquema, sustentado por um script JavaScript ofuscado, já se expandiu para Colômbia, El Salvador, Chile e Equador.
Fonte ↗Uma campanha ativa desde agosto de 2025 usa e-mails que imitam notificações do DocuSign para levar vítimas corporativas a páginas de captura de credenciais construídas com o framework LogoKit, que busca automaticamente o logo e o layout da própria empresa da vítima para dar mais credibilidade ao golpe. A infraestrutura fica hospedada em gateways IPFS e buckets S3, dificultando remoção rápida.
Fonte ↗A Group-IB descreve um kit de phishing multi-estágio contra clientes da Aruba S.p.A., provedora italiana de hospedagem e domínios com 5,4 milhões de clientes, projetado para roubar não só credenciais de login como também dados completos de cartão e o código de verificação 3D Secure. O kit usa CAPTCHA para filtrar bots de segurança, uma réplica fiel da tela de login pré-preenchida com o e-mail da vítima, uma cobrança fictícia de baixo valor para capturar o cartão, e por fim intercepta o OTP bancário — exfiltrando tudo em tempo real via Telegram, com canal duplicado para redundância. A operação ilustra como o phishing-as-a-service está cada vez mais industrializado e automatizado.
Fonte ↗A Group-IB mapeou cinco formas concretas pelas quais criminosos usam IA generativa para escalar fraude: deepfakes para suplantação de identidade, centrais de golpe com voz sintética, "dark LLMs" sem censura vendidos por assinatura, ferramentas de spam com personalização automática e kits de malware com módulos de IA embutidos. O levantamento estima US$ 350 milhões em perdas só com deepfakes no segundo trimestre de 2025, evidenciando que a IA já reduziu a barreira técnica para golpes sofisticados.
Fonte ↗O trojan bancário Qwizzserial, identificado pela primeira vez pela Group-IB em meados de 2024, teve forte crescimento de atividade no Uzbequistão ao se disfarçar de aplicativos legítimos e canais oficiais do governo distribuídos via Telegram. Uma vez instalado, ele intercepta SMS de bancos e códigos OTP, filtra mensagens por valor de transação e envia os dados roubados para bots do Telegram controlados pelos criminosos.
Fonte ↗Uma campanha de phishing identificada pela Group-IB usa e-mails que imitam a autoridade fiscal holandesa (Belastingdienst/MijnOverheid), alegando uma obrigação fictícia de "declaração especial de criptoativos", para levar vítimas a um site clonado que rouba seed phrases ou induz assinatura de transações maliciosas via WalletConnect. O golpe usa infraestrutura de "drainer as a service" (como o Inferno Drainer), que esvazia carteiras de forma quase instantânea e irreversível.
Fonte ↗A Group-IB identificou mais de 100 sites fraudulentos ativos desde 2024 na Colômbia que se passam por seguradoras legítimas do SOAT (seguro obrigatório de trânsito), atraindo vítimas com anúncios de desconto no Facebook e conduzindo a negociação por WhatsApp. Para parecer legítimo, o golpe consulta dados públicos reais do veículo a partir da placa informada antes de coletar dados pessoais e bancários da vítima e desviar o pagamento para contas criminosas.
Fonte ↗Uma campanha de smishing identificada pela Group-IB mira usuários de um serviço de pedágio, enviando SMS sobre supostas dívidas pendentes com ameaça de multa para gerar urgência. A página de phishing usa cloaking via Google AMP para escapar de filtros, faz fingerprinting do navegador para bloquear VPNs, IPs de datacenter e ferramentas como VirusTotal e urlscan.io, e valida os dados de cartão inseridos com o algoritmo de Luhn antes de exfiltrá-los.
Fonte ↗A Group-IB documentou a expansão do Classiscam, esquema de fraude "como serviço" que usa bots de Telegram para gerar em segundos páginas falsas de marketplaces, transportadoras e até órgãos governamentais. Operadores contratados abordam vendedores em anúncios classificados, sugerem migrar a conversa para o Telegram e induzem a vítima a "confirmar o recebimento do pagamento" num site clonado que na verdade rouba dados de cartão e login bancário. Na Ásia Central a investigação encontrou dezenas de domínios ativos mirando bancos e serviços de pagamento do Uzbequistão.
Fonte ↗Uma campanha de phishing identificada pela Group-IB mirou funcionários de mais de 30 empresas em 12 setores e 15 países, hospedando páginas maliciosas em domínios confiáveis como Adobe InDesign e DocuSign e usando redirecionamentos via Google AMP para escapar de gateways de segurança de e-mail (SEG). As páginas ainda personalizavam o logo da empresa-alvo via API pública, tornando a isca muito mais convincente.
Fonte ↗Pesquisadores identificaram uma campanha coordenada de phishing que se passa por serviços postais em Croácia, Romênia, Sérvia e Eslovênia, usando páginas clonadas quase idênticas às oficiais para roubar dados pessoais e cobrar 'taxas de entrega' fraudulentas. A infraestrutura por trás do golpe parece atender vários países ao mesmo tempo, sugerindo um operador único ou um kit de phishing compartilhado entre grupos regionais.
Fonte ↗A Group-IB documentou uma campanha ativa na Malásia usando o RAT Android CraxsRAT para roubar credenciais bancárias e realizar saques não autorizados, com mais de 190 amostras identificadas concentradas em Kuala Lumpur. As vítimas são atraídas por sites de phishing que imitam marcas locais de alimentação, logística e varejo antes de serem induzidas a instalar o app malicioso.
Fonte ↗A Group-IB identificou e rastreou o GXC Team, um grupo que vende phishing-as-a-service com IA e malware Android para interceptar OTP, já tendo mirado 36 bancos espanhóis e outras 30 instituições em países como EUA, Reino Unido, Eslováquia e Brasil. O diferencial do grupo é combinar kits de phishing tradicionais com chamadas de voz geradas por IA para induzir vítimas a entregar códigos de autenticação, elevando bastante a sofisticação do golpe.
Fonte ↗RAT para Android derivado do código vazado do Spymax dá controle total sobre o aparelho da vítima, incluindo captura de credenciais bancárias, SMS e câmera. Distribuído via aplicativos falsos que imitam marketplaces, salões de beleza, restaurantes e até um 'centro antifraude' fictício, já foi usado em campanhas em Singapura contra cerca de dez marcas diferentes desde 2023.
Fonte ↗O LabHost era uma plataforma canadense de 'phishing-as-a-service' que vendia, por assinatura de US$ 250-300/mês, kits prontos para atacar clientes de bancos como Royal Bank, BMO, CIBC e o sistema de transferências Interac. Com módulos para disparo de SMS em massa e captura de códigos 2FA em tempo real, a operação foi derrubada por ação policial internacional com apoio de inteligência da Group-IB.
Fonte ↗Descoberto pela Group-IB, o VietCredCare é um infostealer em .NET, ativo desde 2022, especializado em roubar credenciais de navegadores vietnamitas e filtrar automaticamente quais contas comprometidas administram anúncios no Facebook Business com saldo de crédito disponível — um alvo de maior valor para revenda ou uso em campanhas fraudulentas.
Fonte ↗O Inferno Drainer foi um serviço de 'wallet drainer as a service' que, entre novembro de 2022 e novembro de 2023, ajudou afiliados a roubar cerca de US$ 80 milhões em criptomoedas por meio de mais de 16 mil domínios de phishing imitando protocolos Web3 como Seaport e WalletConnect, além de mais de 100 marcas cripto. Mesmo após o encerramento anunciado, o painel seguiu ativo até janeiro de 2024, e o modelo de negócio de comissão 80/20 já inspira sucessores.
Fonte ↗A Group-IB detalhou o funcionamento do GoldDigger, trojan bancário Android que se disfarça de app governamental ou de concessionária de energia vietnamita para monitorar 51 aplicativos financeiros, carteiras digitais e apps de criptomoeda. Usando abuso do serviço de acessibilidade e um protetor comercial (Virbox) para dificultar análise, o malware captura senhas, telas e até códigos de segunda autenticação.
Fonte ↗A Group-IB mapeou dois vetores de fraude contra passageiros: sites falsos que imitam companhias aéreas para roubar dados de cartão sob pretexto de sorteios ou pesquisas, e centrais de atendimento fraudulentas que se passam por suporte oficial para extrair credenciais e instalar RATs. Contas de milhas comprometidas alimentam ainda um mercado de revenda na dark web.
Fonte ↗A Group-IB atualizou o retrato do Classiscam, esquema de "fraude como serviço" nascido na Rússia em 2019 que automatiza phishing contra usuários de sites de classificados e marketplaces. Com bots do Telegram gerando páginas falsas de pagamento em segundos e uma hierarquia agora altamente especializada, o esquema já foi identificado em 79 países, imitando 251 marcas e movimentando US$ 64,5 milhões.
Fonte ↗A Group-IB descreveu o Gigabud, trojan bancário Android ativo desde 2022 com duas variantes: uma versão RAT que abusa do serviço de acessibilidade para gravar tela e simular apps de bancos, e uma versão "Loan" que se disfarça de aplicativo de empréstimo fácil para coletar documentos e dados bancários. O malware já mirou mais de 99 instituições financeiras e órgãos governamentais em Tailândia, Indonésia, Vietnã, Filipinas e Peru.
Fonte ↗Entre fevereiro e março de 2023, a Group-IB identificou mais de 3.200 perfis fraudulentos se passando por suporte técnico da Meta/Facebook, ativos em 23 idiomas e com indícios de operação desde dezembro de 2020. O golpe usava marcas oficiais e alegações de violação de política para levar vítimas a mais de 220 sites de phishing, coletando tanto senha quanto cookies de sessão — o que permite tomar a conta mesmo sem a senha. Contas comprometidas eram reutilizadas para golpear os próprios seguidores da vítima, criando um efeito cascata.
Fonte ↗A Group-IB documentou a operação da PostalFurious, grupo de língua chinesa ativo desde 2021 que envia SMS falsos de "entrega não realizada" imitando transportadoras reais para induzir a vítima a acessar sites de phishing com typosquatting. As páginas filtram por geolocalização e tipo de dispositivo para só exibir o golpe a alvos relevantes, coletando dados de cartão de crédito e código OTP para realizar transações não autorizadas. A infraestrutura, baseada em kits de phishing em Laravel com painel administrativo, foi rastreada até templates preparados também para França e outros países da Ásia-Pacífico.
Fonte ↗A Group-IB mapeou uma campanha de falsas vagas de emprego que, entre janeiro de 2022 e janeiro de 2023, criou mais de 2.400 páginas fraudulentas no Facebook imitando mais de 40 marcas conhecidas, com foco no setor de logística (64% dos casos). O golpe usa salários irreais para atrair candidatos desesperados, redireciona para páginas de phishing que imitam o login de redes sociais e, após o roubo das credenciais, sequestra a conta e exige resgate para devolvê-la à vítima. Egito, Arábia Saudita e Argélia concentram a maior parte das páginas identificadas.
Fonte ↗A Group-IB catalogou oito padrões recorrentes de golpe ao consumidor em datas comemorativas: smishing com marcas falsas, lojas clonadas, fraude com cartão-presente, perfis falsos de celebridades vendendo produtos, pacotes de viagem fraudulentos, pesquisas falsas com prêmio, anúncios classificados isca e empréstimos rápidos fraudulentos. Embora o levantamento seja de 2022, os padrões descritos continuam sendo a base da maioria dos golpes sazonais atuais, incluindo os que circulam em datas comemorativas brasileiras como Black Friday e Natal. A recomendação central para marcas é registro defensivo de domínios similares e uso de soluções de Proteção de Risco Digital (DRP) combinadas com monitoramento de redes sociais.
Fonte ↗Pesquisadores da Group-IB identificaram mais de mil domínios falsos imitando uma conhecida agência saudita de recrutamento de trabalhadores domésticos, promovidos via anúncios em redes sociais e conversas no WhatsApp. O golpe combina phishing de dados pessoais, cobrança de uma falsa "taxa de processamento" e, na etapa final, captura de credenciais bancárias e código de autenticação de dois fatores das vítimas.
Fonte ↗A Group-IB analisa como golpes online se tornaram uma indústria profissionalizada, com sindicatos criminosos globais desenvolvendo roteiros de fraude e distribuindo-os para operações locais, apoiados por call centers organizados e campanhas de marketing digital. O artigo cita que os golpes causaram mais de US$ 55 bilhões em prejuízos em 2021, um crescimento de 15,7% em relação ao ano anterior, com jovens de 18 a 30 anos cada vez mais visados.
Fonte ↗A Group-IB detalha a campanha 0ktapus, que usou smishing e kits de phishing simples para roubar quase 10 mil credenciais e mais de 5 mil códigos MFA de funcionários de mais de 130 organizações, majoritariamente empresas de TI e nuvem nos EUA e Canadá. O golpe evoluiu para um ataque em cadeia de suprimento, comprometendo Twilio, Mailchimp e Klaviyo e usando esse acesso para atingir ainda mais vítimas, incluindo carteiras de criptomoedas.
Fonte ↗A Group-IB identificou uma campanha massiva de phishing com 240 domínios interligados que se passam por 27 instituições financeiras do Vietnã, ativa desde maio de 2019. Vítimas são atraídas por SMS, Telegram, WhatsApp e comentários falsos em redes sociais, levadas a um site que lista os bancos e depois a um portal clonado que rouba tanto a senha quanto o código OTP em tempo real, permitindo acesso imediato à conta real.
Fonte ↗A Group-IB mapeou três grupos distintos de criminosos que se passavam pela operadora postal SingPost para roubar dados pessoais e bancários de vítimas em Singapura, somando dezenas de vítimas confirmadas e prejuízo de centenas de milhares de dólares. As táticas variavam de SMS fraudulentos com cobrança de falsas taxas de entrega até aplicativos Android trojanizados que interceptavam SMS para roubar códigos OTP, e até phishing em tempo real com técnica man-in-the-middle para burlar a autenticação de dois fatores.
Fonte ↗A Group-IB revelou uma infraestrutura industrializada de phishing direcionado que gera links únicos e personalizados para cada vítima, usando geolocalização, fuso horário e idioma para aumentar a credibilidade do golpe e escapar de detecção automatizada. O esquema explora mais de 120 marcas internacionais — sobretudo empresas de telecomunicações — como isca de falsas premiações, atingindo milhares de vítimas por dia em dezenas de países.
Fonte ↗A Group-IB identificou três grandes redes de sites falsos que se passam por lojas underground de venda de dados de cartões roubados, cobrando 'taxas de ativação' de vítimas que nunca recebem nada em troca. Uma das redes, batizada SPAGETTI, operava mais de 3 mil domínios e movimentou mais de US$ 1,2 milhão, além de distribuir o infostealer Taurus Project para roubar credenciais bancárias e carteiras cripto das próprias vítimas. É um caso de fraude 'entre criminosos', mas que evidencia técnicas de phishing e distribuição de malware financeiro replicáveis contra qualquer usuário.
Fonte ↗A Group-IB descobriu uma operação de golpe em grande escala que usa mais de 4.300 páginas fraudulentas hospedadas no Blogspot, se passando por mais de 47 marcas de telecomunicações e outras empresas conhecidas em 16 países árabes. O esquema usa a isca clássica de 'sorteio premiado' para coletar dados pessoais e induzir as vítimas a compartilhar o golpe em massa pelo WhatsApp, redirecionando depois para phishing, golpes de romance e instaladores maliciosos. A campanha está ativa desde 2013 e teve alta de 54% em novas páginas só no primeiro semestre de 2021.
Fonte ↗O CERT-GIB do Group-IB descobriu uma campanha de phishing via SMS (smishing) que usa mais de 750 domínios para se passar por bancos e outras instituições holandesas, aplicando uma tática batizada de 'corte o cartão' para roubar credenciais bancárias completas. A técnica combina engano digital com uma etapa física inédita no país: pedir que a vítima corte o próprio cartão (que continua funcional) e agende a 'retirada' por um suposto funcionário do banco. As páginas de phishing usavam geolocalização e ferramentas anti-bot para evitar detecção, chegando a durar 6 dias no ar contra a média de 24 horas.
Fonte ↗A Group-IB expôs a Fraud Family, um grupo criminoso de língua neerlandesa que vendia e alugava kits de phishing completos, com painéis de controle em tempo real, para outros golpistas atacarem residentes da Holanda e Bélgica. O esquema incluía bypass de autenticação de dois fatores e spoofing de marcas de bancos e empresas conhecidas. A investigação, feita em colaboração com a polícia holandesa, resultou na prisão de dois suspeitos.
Fonte ↗A Group-IB analisou um grande banco de dados de kits de phishing usados para clonar páginas de login de marcas conhecidas. O estudo mostra como esses kits são vendidos e reutilizados por criminosos para roubar credenciais e dados bancários em massa. Mais de 260 marcas foram identificadas como alvo em 2020, com destaque para serviços de e-mail, financeiros e plataformas online.
Fonte ↗A Group-IB detalhou o Classiscam, um esquema de fraude automatizada nascido na Rússia em 2019 que já opera como um verdadeiro 'scam as a service', com bots do Telegram gerando páginas falsas de transportadoras para roubar dados de cartão de vítimas de sites de classificados. O esquema conta com cerca de 40 grupos criminosos, mais de 5 mil golpistas cadastrados e movimenta acima de 6 milhões de dólares por ano em mais de 40 países.
Fonte ↗A Group-IB descreveu uma campanha que combinou o JS-sniffer FakeSecurity, injetado em lojas online Magento para capturar dados de cartão no checkout, com o infostealer Raccoon, distribuído via documentos maliciosos e páginas de phishing disfarçadas de Adobe Reader. A operação, ativa entre fevereiro e setembro de 2020, tinha como objetivo explícito roubar dados de pagamento e credenciais de usuários em múltiplas frentes simultâneas.
Fonte ↗Pesquisadores identificaram uma campanha de phishing chamada PerSwaysion que abusa dos serviços legítimos de compartilhamento de arquivos da Microsoft (Sway, SharePoint e OneNote) para roubar credenciais de Office 365. O golpe já comprometeu mais de 150 executivos de alto escalão em empresas financeiras, escritórios de advocacia e imobiliárias, principalmente nos EUA, Canadá e centros financeiros globais.
Fonte ↗O grupo cibercriminoso Cobalt Gang manteve em 2019 uma campanha ativa de phishing direcionada a funcionários de instituições financeiras ao redor do mundo. A campanha usa e-mails com arquivos IMG contendo atalhos maliciosos que, por meio de PowerShell ofuscado e bypass de UAC, instalam um stager que baixa o Cobalt Strike para dar aos atacantes acesso persistente aos sistemas bancários comprometidos.
Fonte ↗Em campanha mapeada pela Group-IB, criminosos registraram mais de 500 sites falsos aproveitando o lançamento do iPhone X para aplicar golpes de pagamento antecipado, sorteios fraudulentos e distribuição de malware, com potencial de dano estimado em US$ 34 milhões e um único site chegando a faturar US$ 68 mil por mês. O caso é um exemplo clássico — hoje ainda replicado a cada lançamento de produto de alta demanda — de como escassez artificial e hype são usados para baixar a guarda da vítima.
Fonte ↗A Group-IB identificou cerca de 86 domínios falsos imitando marcas como Lufthansa, Air Canada, British Airways e Air France, promovidos por posts virais no Facebook oferecendo passagens grátis — o segundo ataque do tipo contra o setor em seis meses. O golpe coletava dados pessoais das vítimas através de um falso questionário de 'sorteio' e incentivava o compartilhamento em massa da campanha, ampliando organicamente seu alcance.
Fonte ↗