167 publicações marcadas com esta tag.
A Capcom confirmou acesso não autorizado ao serviço CAPCOM ID, expondo cerca de 11,7 milhões de endereços de e-mail e metadados de conta, com senhas alteradas sem autorização em 196 contas. A própria empresa alertou os usuários para o risco de campanhas de phishing que se passem por comunicações oficiais da Capcom ou de parceiros.
Fonte ↗A Microsoft anunciou que o Teams passará a usar um modelo de IA para analisar o contexto de conversas e identificar tentativas de phishing, engenharia social e personificação, com foco inicial em chats de primeiro contato com usuários externos. O recurso entra em lançamento direcionado em novembro de 2026 e deve chegar à disponibilidade geral em dezembro, sem exigir ação dos administradores.
Fonte ↗Pesquisadores da Netcraft identificaram uma técnica em que atacantes enviam convites de calendário ICS maliciosos que se instalam diretamente na agenda da vítima, contornando filtros de segurança de e-mail. A técnica já está incorporada ao kit de phishing EvilTokens, voltado ao roubo de credenciais de contas Microsoft 365, e persiste no calendário mesmo após o e-mail original ser apagado.
Fonte ↗FBI e CISA emitiram alerta conjunto sobre duas frentes de fraude ligadas ao ciclo eleitoral: golpes contra eleitores usando nome, imagem e voz de candidatos (incluindo conteúdo sintético por IA) para captar doações falsas, e campanhas de phishing/smishing cada vez mais sofisticadas contra funcionários eleitorais e organizações políticas. As agências recomendam MFA resistente a phishing e verificação de doações apenas por canais oficiais.
Fonte ↗O framework acadêmico PhishGen testou 14 modelos de linguagem — comerciais, open source e 'sem censura' — na geração de páginas de phishing completas, comparando o resultado contra 64 kits de phishing reais usados por criminosos. O achado central é contraintuitivo: modelos comerciais de ponta como GPT-4.1 produzem páginas de coleta de credenciais funcionais com taxa de sucesso (86-94%) maior do que os modelos 'sem censura' geralmente apontados como maior ameaça (abaixo de 45%).
Fonte ↗Uma campanha ativa está usando páginas falsas do Calendly disfarçadas de agendamento de entrevista na Meta para roubar credenciais do Facebook e do Google de candidatos a emprego. Após a vítima preencher dados na página de agendamento falsa, ela é redirecionada a uma tela de login clonada, e o atacante captura a senha — e o código de MFA — em tempo real.
Fonte ↗A Operação Serengeti III, coordenada pela Interpol entre junho e agosto de 2026 em 21 países africanos, prendeu 1.462 suspeitos e desmantelou 10.909 redes criminosas ligadas a BEC, golpes de investimento e aposentadoria, apps de empréstimo fraudulentos e mineração ilegal de criptomoedas. Foram recuperados US$ 105 milhões e identificadas quase 66 mil vítimas, com perdas estimadas em US$ 385 milhões. Um caso na Nigéria envolveu um único operador de phishing/BEC que acumulou 2,1 milhões de endereços de e-mail roubados.
Fonte ↗Pesquisadores da Fortra identificaram um aumento de 475% em campanhas de phishing que abusam de ferramentas legítimas de monitoramento e gestão remota (RMM), como o AnyDesk, para comprometer contas bancárias de empresas na América do Norte. A vítima é atraída por um alerta falso sobre a conta e, ao clicar em um botão de “chat ao vivo” em um site clonado do banco, baixa automaticamente o instalador do RMM, dando acesso remoto total ao atacante.
Fonte ↗Pesquisadores da Island identificaram uma campanha de phishing ativa que se disfarça de anúncios de ferramentas de IA populares — Gemini, Claude, ChatGPT, Perplexity e Muse — para atrair profissionais de marketing e mídia paga. A operação usa uma técnica de "navegador dentro do navegador" com barra de endereço falsificada para capturar credenciais e tokens de MFA em tempo real, visando contas de anúncios corporativas que já têm método de pagamento e orçamento aprovados.
Fonte ↗A Justiça americana condenou Chukwuemeka Victor Amachukwu a oito anos de prisão por liderar, entre 2019 e 2021, uma rede que usou spearphishing para invadir computadores de escritórios de contabilidade e preparação de impostos nos EUA, roubando dados fiscais e pessoais de mais de 800 clientes. Com essas informações, o grupo solicitou cerca de US$ 8,4 milhões em restituições fiscais fraudulentas (dos quais obteve US$ 2,5 milhões), quase US$ 820 mil em empréstimos emergenciais da SBA e mais de US$ 7 milhões por meio de um esquema de investimento falso com cartas de crédito fraudulentas.
Fonte ↗A WeLiveSecurity (ESET) publicou um guia educativo sobre anúncios fraudulentos em redes sociais, que imitam marcas conhecidas, criam urgência artificial e usam deepfakes de celebridades para aplicar golpes de investimento, falsos alertas de segurança e lojas virtuais falsas. O texto reúne sinais de alerta e orientações práticas para identificar um anúncio malicioso antes de clicar nele.
Fonte ↗Pesquisadores do Group-IB documentaram como operadores do esquema Classiscam estao abusando do processo de cadastro de plataformas de spend management (gestao de despesas corporativas) para dois fins ao mesmo tempo: disparar notificacoes de pagamento falsas que imitam marketplaces conhecidos (phishing) e usar a integracao de open banking dessas plataformas para testar, de graca, se cartoes e credenciais bancarias roubados ainda estao ativos e com saldo. Como o abuso ocorre inteiramente na camada de cadastro e verificacao, ele fica invisivel para o monitoramento transacional tradicional, que so observa a movimentacao de dinheiro.
Fonte ↗Pesquisadores da ESET identificaram uma campanha de phishing que mira criadores de conteúdo do YouTube com propostas falsas de patrocínio de marcas como Nike, Spotify e Hollyland. Os golpistas constroem confiança ao longo de uma negociação simulada antes de induzir a vítima a conceder acesso à sua conta Google via um site fraudulento com métricas de campanha e calculadora de cachê. O objetivo final é o sequestro da conta e do canal, não apenas o roubo de senha.
Fonte ↗Uma análise sobre a aplicação prática da diretiva europeia NIS2 mostra como dados roubados de fornecedores e parceiros de cadeia de suprimentos estão sendo reaproveitados para montar ataques de phishing e vishing extremamente convincentes contra funcionários de empresas maiores. Entre os exemplos citados está uma campanha de nove meses contra empresas de logística e frete que comprometeu mais de 1.600 credenciais, além do vazamento da base de bilhetes da Trenitalia na Itália. O ponto central é que dados operacionais reais tornam a isca quase indistinguível de uma comunicação legítima.
Fonte ↗Uma pesquisa da Consumer Reports mostra que 91% dos americanos já foram alvo de algum golpe e 17% efetivamente perderam algo para um deles. O dado mais relevante é que 20% das vítimas relataram golpes personalizados com dados pessoais reais, chegando a 32% nas tentativas feitas por telefone, o que a entidade atribui ao uso combinado de dados vazados em brechas com ferramentas de IA generativa. As taxas de adoção de proteções básicas, como checar links antes de clicar ou usar autenticação multifator, ainda ficam bem abaixo de 100%.
Fonte ↗A empresa de segurança Island identificou uma campanha de phishing que se disfarça de plataforma de ferramentas de anúncios com inteligência artificial, usando identidade visual de Gemini, Claude, ChatGPT, Perplexity e Muse. O alvo são profissionais que administram contas de anúncios (agências e media buyers), e o golpe usa um navegador falso embutido para capturar senhas, dados do dispositivo e códigos de autenticação multifator em tempo real.
Fonte ↗Microsoft e a Agência Nacional de Polícia do Japão, com apoio de Cloudflare, Oracle, Proofpoint, TRM Labs e outros parceiros, desmantelaram uma infraestrutura de phishing-as-a-service responsável por mais de 1 bilhão de mensagens maliciosas contra 75 mil organizações em 150 países. A operação atingiu o marketplace clandestino YAM Store e os kits de phishing CoGUI, Haozi e Iron Man, resultando na desativação de mais de 20 mil contas e bloqueio de 100 mil domínios.
Fonte ↗Com GTA 6 previsto para novembro de 2026, a Kaspersky mapeou uma onda de golpes que exploram a ansiedade dos fãs: sites como o CyberLeek cobram em criptomoeda por um "jogo completo" inexistente, páginas falsas de pré-venda simulam a loja da PlayStation pedindo CPF e pagamento via Pix, e um token cripto não oficial promete acesso gratuito ao jogo em um possível esquema de pump-and-dump. Todos os golpes seguem o mesmo roteiro: domínio falso, urgência e pagamento irreversível antes da entrega de qualquer coisa.
Fonte ↗A ReliaQuest identificou um aumento de ataques de vishing e phishing via Microsoft Teams em que criminosos, incluindo grupos ligados ao ShinyHunters, se passam por suporte técnico interno para convencer funcionários a aprovar MFA, instalar software de acesso remoto ou registrar dispositivos falsos. A simplicidade da técnica — pedir uma ação cotidiana e familiar — é o que a torna eficaz mesmo contra organizações com MFA habilitado.
Fonte ↗A Fortra documentou uma campanha em que o criminoso se passa por um cliente em potencial para conseguir que um funcionário sem relação com vendas encaminhe, para um colega do time comercial, um link de agendamento malicioso. Como o link chega via encaminhamento de um colega confiável, o vendedor baixa a guarda e insere suas credenciais do Microsoft 365 em uma página de agendamento falsa — um exemplo de como engenharia social explora a cadeia de confiança interna, não apenas a confiança em remetentes externos.
Fonte ↗Um levantamento da KnowBe4 mostra que 22% dos ataques de phishing hoje abusam de plataformas SaaS confiáveis como DocuSign, Adobe Sign, Google Drive e QuickBooks para enviar notificações genuínas com links maliciosos embutidos. A técnica, chamada de 'Living Off Trusted Services' (LOTS), consegue atravessar filtros de e-mail justamente porque o remetente é legítimo, mesmo quando o conteúdo não é. De 544 mil e-mails de ameaça analisados, 53 mil usaram esse artifício, com DocuSign e QuickBooks somando dois terços do volume.
Fonte ↗Pesquisadores propuseram o CredLeakBench, um benchmark que mede se agentes baseados em LLM — usados para automatizar tarefas como e-mail, redes sociais e operações bancárias — entregam credenciais e dados sensíveis quando confrontados com phishing, inclusive quando monitoram a caixa de entrada de forma autônoma sem que o usuário tenha pedido login. O resultado: todos os modelos testados vazaram informação em algum grau, e as mitigações que reduzem o vazamento também prejudicam a capacidade do agente de cumprir tarefas legítimas.
Fonte ↗Pesquisadores da Fortra identificaram uma campanha em que atacantes se passam por clientes em potencial, contatam funcionários fora da área comercial e os convencem a encaminhar um link de agendamento ao time de vendas. O vendedor, ao receber o convite de um colega conhecido, confia e acaba inserindo credenciais do Microsoft 365 numa página de login falsa embutida no fluxo de agendamento.
Fonte ↗Criminosos se passam por marcas conhecidas (como Nike, Spotify e Hollyland) e oferecem parcerias pagas a criadores de conteúdo, levando-os a um site falso que imita uma plataforma profissional de colaborações. Ao autenticar com Google nesse site, a vítima tem a senha e o código de verificação capturados em tempo real, perde a conta e os golpistas trocam e-mail e telefone de recuperação para travar o acesso do dono original.
Fonte ↗A Malwarebytes identificou uma campanha de phishing que promete 10 mil assinaturas gratuitas do Claude Max da Anthropic para atrair vítimas e roubar credenciais do Google. O site falso reproduz logo, cores e depoimentos forjados da Anthropic, usa contador regressivo para criar urgência e abre uma janela de navegador falsa (browser-in-the-browser) idêntica à tela de login real do Google. Toda interação de senha é redirecionada para essa janela fraudulenta, inclusive desativando o botão de login via Apple para forçar a vítima a usar a conta Google.
Fonte ↗A Netskope identificou um kit de phishing distribuído via Google Ads que se disfarça de loja online legítima e, após o clique, força o navegador em tela cheia para exibir um alerta de segurança falso atribuído à Microsoft ou à Apple. A página esconde a barra de endereço e o cursor, bloqueia a tecla Esc e outros atalhos de saída, toca alarmes sonoros e repete avisos insistindo para a vítima telefonar imediatamente para um falso suporte técnico.
Fonte ↗Uma campanha voltada a gestores de contas de publicidade usa sites fraudulentos que imitam ChatGPT, Gemini, Claude e Perplexity, anunciando-se como ferramentas de gestão de campanhas de mídia paga. Ao clicar em conectar, a vítima vê uma falsa tela de login do Google renderizada dentro de um iframe que imita uma janela de navegador real, e um operador humano assume o ataque em tempo real para extrair senhas, códigos de SMS, aprovações de autenticador ou QR codes e assim contornar o MFA.
Fonte ↗Durante a Prime Big Deal Days da Amazon, analistas de ameaças identificaram campanhas de phishing altamente evasivas: 75% das mensagens variam nome de exibição, domínio do remetente e assunto para escapar de filtros, e 64% usam caracteres ocultos e espaços de largura zero para contornar a detecção baseada em texto. As iscas mudam por região — de falsos problemas de cobrança nos EUA a avisos de falha de cartão e entrega na Europa — e parte das campanhas já usa imagens geradas por IA e texto invisível para escapar de scanners tradicionais.
Fonte ↗O grupo de mídia japonês Nikkei revelou dois incidentes distintos de comprometimento de contas de funcionários: uma conta Google Workspace invadida em julho, descoberta somente após alerta do próprio Google, e uma conta Microsoft 365 invadida em setembro. A conta Microsoft comprometida foi usada para disparar cerca de 9 mil e-mails de phishing a funcionários e entrevistados da empresa, enquanto a invasão da conta Google expôs nomes e e-mails de 1.646 pessoas.
Fonte ↗O Registro Central de População (CPR) da Dinamarca confirmou uma violação de dados que expôs nomes, endereços, datas de nascimento, status conjugal e o número CPR de cerca de 8,8 milhões de pessoas — aproximadamente 80% da base de 11 milhões de registros. A invasão não comprometeu o sistema central diretamente, mas abusou do acesso legítimo concedido a uma empresa privada dinamarquesa, combinado com força bruta para enumerar números CPR válidos.
Fonte ↗Pesquisadores do Group-IB identificaram o Milk Dragon (também chamado NaiLong), um kit de Phishing-as-a-Service ativo desde outubro de 2025 que já gerou 258 páginas falsas em 66 países, impersonando 21 marcas conhecidas. Diferente do phishing tradicional baseado em medo e urgência, o kit atrai vítimas com anúncios de grandes descontos em marketplaces sociais e usa uma técnica de adversary-in-the-middle para interceptar cartões de crédito, contas PayPal e até tokens de autenticação multifator em tempo real. O modelo de assinatura, a partir de US$ 300/mês, e o painel de gestão de campanhas mostram um ecossistema criminoso profissionalizado e de fácil acesso para terceiros.
Fonte ↗Pesquisadores da Huntress identificaram ao menos 40 incidentes em que criminosos usaram anúncios patrocinados do Google e páginas falsas imitando 'Custom GPTs' do ChatGPT para induzir vítimas a copiar e colar comandos PowerShell (técnica ClickFix), instalando um RAT completo disfarçado de atualizador de impressora. O malware dá controle remoto total da máquina e extrai dados de 17 navegadores diferentes — exatamente o tipo de acesso usado depois para sequestro de contas e fraude financeira, mesmo que o artigo original não nomeie a motivação final dos operadores.
Fonte ↗Dois ex-integrantes da Força Aérea dos EUA foram condenados a mais de 15 anos de prisão combinados por operar um esquema de comprometimento de e-mail corporativo (BEC) que desviou ao menos US$ 2,4 milhões, usando phishing para roubar credenciais e domínios falsificados para redirecionar pagamentos a contas de mulas financeiras.
Fonte ↗O FBI emitiu um alerta nacional sobre campanhas de fraude em que criminosos se passam por agentes de lei e funcionarios do governo para extrair dinheiro e dados pessoais das vitimas. O contato ocorre por telefone, SMS e email, com falsificacao de numeros, nomes e credenciais de orgaos conhecidos, e as vitimas sao pressionadas com tom urgente a pagar via cripto, cartoes pre-pagos ou transferencia enquanto sao mantidas na linha.
Fonte ↗A ESET descreve como o phishing moderno abandonou os sinais clássicos de fraude — erros de português/inglês, links óbvios — usando IA generativa para escrever mensagens convincentes e técnicas que abusam de fluxos legítimos de autenticação, como roubo de token OAuth sem disparar MFA. O artigo defende que a defesa precisa migrar do "identificar o e-mail ruim" para "detectar e conter rápido" quando a prevenção falha.
Fonte ↗Um novo kit de phishing chamado GhostCode inicia o contato através do próprio formulário de contato da empresa-alvo, driblando filtros de e-mail, para depois enviar um link do WeTransfer com um arquivo HTML protegido por senha. O arquivo redireciona a vítima para uma página de phishing de “device code” do OAuth, que rouba um token que já carrega a validação de MFA — tornando a autenticação multifator ineficaz nesse cenário. O alvo preferencial são vendedores, abordados com pedidos falsos de assinatura de NDA.
Fonte ↗Pesquisadores testaram como pequenas frases como "not-phishing" ou "official" inseridas no próprio nome de domínio alteram o julgamento de cinco LLMs sobre 64 marcas, em mais de 622 mil avaliações. Sem referência à marca legítima no prompt, termos de "aprovação" aumentaram os alertas de phishing em até 65,6 pontos percentuais, enquanto termos de "negação de risco" reduziram alertas em até 45,3 pontos — mesmo com uma salvaguarda básica comparando o domínio ao oficial. O achado é um alerta direto para qualquer produto antifraude que use LLMs para classificar URLs ou domínios suspeitos automaticamente.
Fonte ↗Pesquisadores da Malwarebytes identificaram páginas de phishing extremamente bem produzidas, com sinais claros de terem sido geradas com apoio de IA, que se passam por avisos de renovação de antivírus. No caso documentado, a página falsificava o Avast Premium Security e cobrava €129,99 de vítimas na Bélgica. O golpe ocorre em duas etapas: captura de dados pessoais via formulário e, em seguida, uma ligação de um falso atendente que tenta instalar malware de acesso remoto ou roubar dados financeiros.
Fonte ↗A Group-IB documentou o "Outsider Phishing Kit", uma plataforma de phishing-as-a-service operada por um grupo baseado na China e vendida por assinatura via Telegram, responsável por mais de 100 mil páginas de phishing em 54 ou mais países entre dezembro de 2025 e maio de 2026. Mesmo após o Google processar o grupo com apoio do FBI na operação "Ghost Hook" em junho, a operação seguiu ativa, com centenas de novas páginas surgindo já no mês seguinte ao takedown. O kit reduz drasticamente a barreira técnica para lançar campanhas de fraude em massa, oferecendo templates prontos e painel centralizado de coleta de dados.
Fonte ↗Microsoft, Coinbase e a Polícia Metropolitana de Londres desmantelaram o EvilTokens, uma plataforma de phishing por assinatura operada pelo grupo Storm-2992 que vendia acesso via Telegram por US$1.500 de entrada mais US$500/mês. Em poucos meses o kit comprometeu mais de 12 mil caixas de e-mail em mais de 10 mil organizações usando phishing por código de dispositivo, que contorna o MFA. A operação usava IA para analisar as caixas invadidas e gerar automaticamente novas mensagens de phishing personalizadas contra os contatos da vítima.
Fonte ↗A Group-IB identificou o RemControl, um trojan bancário Android operado como serviço (MaaS) desde maio de 2026, que usa overlays de phishing para roubar PIN, senha e dados de cartão de clientes de bancos na Europa Ocidental, Oriente Médio e Canadá. O malware se distribui por páginas falsas de um app de IPTV na Play Store e abusa do Serviço de Acessibilidade do Android para sobrepor telas falsas aos apps bancários legítimos. O achado mais curioso é que os próprios operadores parecem ter usado um assistente de IA para programar parte do painel de controle e das telas de phishing, sem que a IA soubesse o que estava realmente construindo.
Fonte ↗Pesquisadores propuseram o COBRA, um sistema que classifica domínios como suspeitos assim que são registrados, analisando apenas padrões lexicais e estruturais do nome, sem depender de conteúdo (que ainda nem existe no domínio). Testado sobre 1,5 milhão de domínios reais, o framework atingiu 98,5% de precisão e identificou mais de 47 mil domínios suspeitos, detectando 80% deles antes de serviços de inteligência de ameaças amplamente usados no mercado.
Fonte ↗A Microsoft descreveu uma técnica em que atacantes ligam ou enviam SMS para o telefone pessoal da vítima se passando pelo helpdesk de TI, convencendo-a a "cadastrar uma passkey" — mas o objetivo real é interceptar device codes e tokens de sessão via ataque adversary-in-the-middle, contornando totalmente a MFA. O kit "BigBear 2.0", rastreado pela CloudSEK, já comprometeu 5.137 registros de credenciais, incluindo 474 autenticações completas com bypass de MFA, em mais de 40 países. Como o golpe costuma ocorrer em dispositivos pessoais fora do Defender for Endpoint, a atividade maliciosa passa despercebida pela telemetria corporativa.
Fonte ↗A Microsoft rastreou uma campanha de phishing que usou IA generativa para enviar mais de um milhão de e-mails personalizados a departamentos de contas a pagar, tentando executar fraudes de desvio de pagamento (payment diversion) de cerca de US$ 50 mil por golpe. Os atacantes se passaram por executivos como CEO e CFO e criaram faturas falsas com a marca de fornecedores reais, como o ServiceNow, para dar credibilidade ao pedido de transferência.
Fonte ↗A ESET mapeou os principais golpes que exploram o desejo de jogadores, muitos deles crianças, por Robux gratuito: geradores falsos que roubam a conta em vez de gerar moeda, sorteios fraudulentos divulgados em YouTube, TikTok e Discord, páginas de phishing que imitam o login do Roblox e cartões-presente inexistentes. Todos seguem o mesmo padrão de engenharia social — prometer algo de valor em troca de credenciais ou dados pessoais.
Fonte ↗A BigCommerce notificou vários lojistas que usam os aplicativos de terceiros Ribon e Ribon 1.5 sobre um comprometimento de credenciais entre 13 e 17 de setembro. Os atacantes usaram as credenciais roubadas para injetar scripts maliciosos nas vitrines das lojas e acessar registros de clientes, expondo nomes, e-mails, telefones e endereços de entrega. Dados de cartão e senhas não vazaram porque a plataforma os armazena separadamente.
Fonte ↗Pesquisadores da Microsoft identificaram uma campanha de phishing que já atingiu milhões de e-mails usando "ASCII smuggling": caracteres Unicode invisíveis inseridos dentro de palavras-chave sensíveis para escapar de filtros automatizados de detecção. A técnica, originalmente popularizada em ataques de prompt injection contra assistentes de IA, agora é reaproveitada em campanhas de phishing tradicionais em larga escala.
Fonte ↗Pesquisadores da Zimperium detalharam o RatHat, um trojan Android atribuído a operadores baseados na China que combina abuso de Acessibilidade, ativação oculta de depuração via ADB e controle de tela orientado por um assistente de IA generativa. O malware exibe overlays falsos sobre apps bancários e de pagamento, como WeChat e Alipay, captura PINs e intercepta SMS de 2FA, resultando em tomada total de conta. A distribuição ocorre via sites de phishing, malvertising e campanhas de smishing.
Fonte ↗O toolkit KREMLIN força a instalação de extensões maliciosas no Chrome e Edge sem interação da vítima, adulterando os arquivos internos de segurança do navegador para que a extensão passe por legítima. Ativo desde meados de 2025 e voltado a clientes de pelo menos 12 bancos brasileiros, o malware já infectou mais de 1.500 sistemas, roubando cookies, tokens de sessão e credenciais bancárias.
Fonte ↗Pesquisadores da ESET mostram que ferramentas de IA generativa estão reduzindo drasticamente o tempo necessário para a etapa de reconhecimento em ataques de engenharia social direcionados. Com LLMs, atacantes conseguem varrer redes sociais e fontes públicas, montar perfis detalhados de vítimas e gerar mensagens de phishing altamente personalizadas, inclusive em idiomas que não dominam. O resultado é um golpe mais crível e escalável, reduzindo a barreira técnica para campanhas de spear phishing sofisticadas.
Fonte ↗O kit de phishing como serviço BigBear 2.0 foi usado em campanhas contra centenas de organizações em mais de 40 países, capturando milhares de credenciais e conseguindo contornar a autenticação multifator em cerca de 10% dos casos por meio de roubo de cookies de sessão. A técnica de adversário no meio (AiTM) permite sequestrar contas do Microsoft 365 mesmo quando o MFA está ativado.
Fonte ↗Pesquisadores da Microsoft identificaram uma campanha de engenharia social em que atacantes ligam ou mandam SMS para o celular pessoal de funcionários se passando por suporte de TI, alegando que é preciso atualizar passkey, MFA ou SSO. A vítima é levada a um site falso que imita o login da Microsoft, e o verdadeiro objetivo é abusar do fluxo de autenticação por device code para roubar tokens de sessão válidos. Como o contato começa fora dos canais corporativos monitorados, o ataque deixa poucos rastros até que o acesso já esteja em uso.
Fonte ↗Pesquisadores da ReliaQuest identificaram uma técnica em que atacantes omitem o domínio do campo de remetente em e-mails enviados por Direct Send, o que neutraliza a proteção RejectDirectSend do Microsoft 365 Exchange Online. Com isso, mensagens não autenticadas passam a se passar por usuários internos e chegam à caixa de entrada mesmo falhando nas verificações padrão de autenticidade. O golpe mira principalmente times financeiros e cargos com poder de aprovar pagamentos, usando pretextos como notificações de documentos e pedidos de pagamento.
Fonte ↗Uma campanha de phishing em larga escala esta encadeando ate seis propriedades legitimas do Google -- incluindo redirecionadores e servicos de infraestrutura -- para levar vitimas a paginas de coleta de credenciais ou a ferramentas de acesso remoto. O diferencial em relacao a golpes tradicionais e que, em vez de tentar esconder o link malicioso, a operacao entrega aos filtros de seguranca exatamente os dominios confiaveis que eles esperam ver em cada salto do redirecionamento, dificultando a deteccao automatizada. A pagina final se personaliza em tempo real, puxando logo da empresa da vitima via Clearbit e capturas de tela do site real, aumentando a verossimilhanca do golpe.
Fonte ↗Pesquisadores descrevem o "slop squatting", tecnica em que criminosos monitoram alucinacoes de LLMs (dominios ou pacotes inexistentes sugeridos por assistentes de IA) e registram esses enderecos para hospedar paginas de phishing. Como varios usuarios recebem a mesma resposta fabricada para perguntas parecidas, um unico dominio malicioso pode capturar um volume relevante de vitimas que confiam cegamente na sugestao da IA.
Fonte ↗A Group-IB desmontou o JWR, kit de phishing usado pelo cluster "Outsider" do Smishing Triad, e encontrou uma central de controle que permite a um operador humano acompanhar a digitação da vítima e redirecioná-la em tempo real entre 32 páginas fraudulentas diferentes. O kit captura, em estágios sucessivos, identidade, dados de cartão, senha bancária, código OTP e até uma segunda conta bancária ou carteira digital, tudo enviado por WebSocket sob uma criptografia AES que expõe a própria chave junto com os dados. A infraestrutura já rotacionou mais de 194 mil domínios em 192 países desde 2024, evidenciando phishing como serviço em escala industrial.
Fonte ↗O FBI emitiu um alerta sobre uma onda de ataques de "OAuth consent phishing" mirando pessoas proeminentes, familiares e conhecidos próximos em aplicativos de mensagens. A vítima é induzida a aprovar uma tela legítima de permissão OAuth, achando que está liberando acesso a um contato ou serviço confiável, mas na prática concede a um app malicioso a capacidade de ler e-mails, enviar mensagens e acessar dados em seu nome. O golpe é particularmente perigoso porque não depende de roubar senha nenhuma e sobrevive à troca de senha da vítima.
Fonte ↗A Microsoft atribuiu a grupos como Storm-3121 (ligado ao ShinyHunters) e Storm-3032 (marca Helix) uma campanha de engenharia social que se passa por suporte técnico para convencer funcionários a "atualizar" passkeys, MFA ou configurações de SSO. As vítimas caem em páginas de phishing adversary-in-the-middle que capturam credenciais e sessões, dando acesso a SharePoint, Outlook, OneDrive e apps conectados como Salesforce e Slack. Os dados são exfiltrados lentamente, ao longo de horas ou dias, e depois usados em esquemas de extorsão pelos mesmos grupos que já operam no ecossistema ShinyHunters/Scattered Spider.
Fonte ↗Uma pesquisa da Experian mostra que 60% das empresas relatam perdas por fraude maiores que em anos anteriores, com phishing gerado por IA citado por 53% dos respondentes como principal preocupação, à frente de fraude de primeira parte assistida por IA (51%), documentos falsificados por IA (45%) e deepfakes de voz/imagem (37%/35%). O estudo também mede a consciência do consumidor sobre esses golpes, que ainda fica abaixo da prevalência real das técnicas.
Fonte ↗Pesquisadores da INKY identificaram, entre junho e agosto de 2026, uma campanha de phishing que usa arquivos SVG contendo JavaScript malicioso para redirecionar vítimas a páginas de roubo de credenciais que imitam Microsoft 365, Google Workspace e Adobe. Os e-mails, disfarçados de notificação de mensagem de voz perdida, são enviados em horário comercial para parecerem legítimos, e muitas das páginas finais funcionam como proxies adversary-in-the-middle capazes de capturar sessão autenticada e derrotar MFA. O uso de SVG é atraente para o atacante porque muitos filtros de e-mail tratam esse formato como imagem inofensiva, não como conteúdo executável.
Fonte ↗Um ataque à plataforma de email marketing Brevo permitiu o envio de phishing pela própria conta oficial de newsletter da Trezor, atingindo 347 mil endereços cadastrados. O email simulava um alerta crítico de segurança e levava a vítima a um app falso que pedia a frase de recuperação da carteira — 2.500 pessoas chegaram a clicar no link antes da Trezor derrubar o domínio.
Fonte ↗Criminosos comprometeram o provedor de e-mail terceirizado da Trezor e dispararam mensagens de phishing a partir do endereço legítimo help@trezor.io, alegando uma falha inexistente no microcontrolador STM32 usado nas carteiras frias da empresa. A isca criava urgência de segurança para levar o usuário a clicar em um link malicioso, com o objetivo final de capturar a seed phrase da carteira. A Trezor derrubou o domínio falso e orientou os clientes a ignorar o e-mail e nunca inserir a frase de recuperação em nenhum site.
Fonte ↗Uma operação batizada de DoppelCart mantém uma rede de mais de 119 mil domínios que simulam e-commerces legítimos para coletar dados de cartão de pagamento de consumidores no momento do checkout falso. A escala do número de domínios sugere infraestrutura automatizada de criação em massa de lojas fraudulentas, um modelo que dificulta o takedown por operar em volume e rotatividade constante.
Fonte ↗Pesquisadores da ZeroBEC identificaram uma atualização significativa no kit de phishing-as-a-service Greatness, que agora combina ataques adversary-in-the-middle (AiTM) com roubo de token de sessão e phishing de código de dispositivo, mirando contas corporativas do Microsoft 365, Google Workspace, iCloud e Yahoo. A evolução torna o kit capaz de contornar autenticação multifator tradicional, ampliando o risco para organizações que dependem apenas de MFA baseado em senha temporária.
Fonte ↗Um cluster de ameaças batizado de PREY-0058 está comprometendo executivos de alto escalão em ambientes Microsoft 365 usando apenas engenharia social por telefone, sem qualquer malware. Os atacantes se passam por suporte de TI interno, capturam credenciais e aprovações de MFA em tempo real e sequestram a sessão para drenar dados de SharePoint, OneDrive, Exchange e Box antes de exigir resgate.
Fonte ↗Um banco de dados com 32,8 milhões de registros de usuários ligados a publicações da Condé Nast, incluindo e-mail, nome, endereço e data de nascimento, está à venda por US$ 15 mil em um fórum russo de cibercrime. A combinação de dados reais de identidade e endereço abre caminho para golpes de personificação da própria marca contra assinantes.
Fonte ↗Pesquisadores da CloudSEK acessaram o painel de controle do BigBear 2.0, um phishing-as-a-service construído sobre o Evilginx2 que rouba credenciais, códigos de MFA e cookies de sessão do Microsoft 365 em tempo real. O serviço já exfiltrou mais de 5 mil credenciais e derrubou a autenticação multifator completa de 258 organizações em mais de 40 países.
Fonte ↗A fabricante de carteiras de hardware Trezor ampliou para 81 mil o número de clientes afetados por um vazamento originado na sua parceira de logística ShipMonk, explorada via SQL injection zero-day no Metabase. Os dados expostos são nome, endereço, e-mail, telefone e número do pedido — informação suficiente para golpistas montarem contatos falsos convincentes atrás da seed phrase da carteira.
Fonte ↗Pesquisadores identificaram campanhas de phishing que usam caracteres Unicode invisíveis do bloco Tags para fragmentar palavras-chave sensíveis, como “funding” e “credit”, e assim escapar de filtros de e-mail baseados em listas de termos. A Microsoft chegou a registrar picos de 2,37 milhões de mensagens diárias em uma dessas campanhas, embora tenha barrado mais de 99% delas usando outros sinais de detecção.
Fonte ↗Analistas identificaram uma campanha de phishing em larga escala que abusa de seis serviços legítimos do Google (Meet, Search, DoubleClick, Custom Search, Image Search e Tag Manager) como redirecionadores abertos antes de levar a vítima ao site fraudulento. O golpe segue duas trilhas: roubo de credenciais forçando duas submissões de senha, ou instalação de um acesso remoto (ScreenConnect) disfarçado de verificação de identidade. Dados roubados são exfiltrados via bot do Telegram após validação por consulta de registros MX, o que ajuda os atacantes a filtrar pesquisadores de segurança e ambientes de sandbox.
Fonte ↗A Kaspersky publicou um guia sobre os sinais que denunciam lojas e sites fraudulentos mesmo quando o navegador não exibe nenhum alerta de segurança, já que o cadeado HTTPS só garante criptografia da conexão, não a idoneidade de quem está do outro lado. O texto lista táticas de pressão psicológica (contadores regressivos, estoque "quase esgotado"), sinais visuais de amadorismo e categorias comuns de golpe, da loja que nunca entrega ao golpe de investimento em cripto.
Fonte ↗O ator conhecido como ChenLun opera desde o Telegram o 'Outsider Phishing Kit', um phishing-as-a-service com mais de 267 templates prontos mirando bancos, PayPal, operadoras de telefonia, governos e e-commerces em 54 países. Mesmo após uma ação da Google e a 'Operation Ghost Hook' em junho de 2026, a operação registrou mais de 700 novos domínios em um único mês, sustentada por um modelo descentralizado de afiliados. O kit rouba cartões, credenciais e contorna MFA em tempo real via WebSocket, com distribuição majoritariamente por SMS (smishing).
Fonte ↗Pesquisadores da Zimperium identificaram uma campanha ampla que se passa por recrutadores de RH de marcas como Amazon, Apple, FIFA, Boeing e Deloitte, conduzindo entrevistas falsas altamente realistas com candidatos a emprego. O golpe usa a técnica Browser-in-the-Browser (BitB), que simula uma janela de navegador de login (ex.: OAuth) dentro da própria página, e é ainda mais perigoso em dispositivos móveis, onde não há barra de endereço visível para o usuário conferir a autenticidade. O kit filtra e-mails pessoais, mirando exclusivamente contas corporativas, e ao capturar o login obtém tokens OAuth e comunicações internas para movimentação lateral na empresa da vítima.
Fonte ↗Pesquisadores da Group-IB identificaram o Balonx, uma plataforma de phishing-as-a-service cujo módulo 'CallFlow' elimina a necessidade de um operador humano em golpes de vishing (phishing por voz). O sistema combina GPT-4o-mini para gerar respostas, ElevenLabs e OpenAI Voice para sintetizar uma voz realista de suposto atendente bancário, e Whisper para transcrever em tempo real as respostas da vítima, tornando a ligação praticamente indistinguível de um call center real. Um painel permite a um único operador monitorar e, se necessário, assumir centenas de ligações fraudulentas simultâneas.
Fonte ↗Pesquisadores da Fortra registraram alta de 40% no segundo trimestre de 2026 em ataques de 'SEO poisoning' com cloaking, apelidados de Chameleon, que usam domínios typosquatted para posicionar páginas de phishing no topo de buscas por termos como 'portal do cliente' e 'login de cartão de crédito' de bancos. A técnica é desenhada especificamente para enganar scanners automatizados de segurança, mostrando conteúdo limpo a eles e a página falsa apenas a vítimas reais. O resultado prático é furto de credenciais bancárias por um caminho que o usuário acredita ser confiável: o próprio buscador.
Fonte ↗A Cisco Talos identificou o JWR, uma plataforma de phishing-as-a-service que transmite ao vivo, via WebSocket criptografado, a tela da vítima para o atacante enquanto ela preenche dados de cartão, CVV, senha, 2FA e documentos como passaporte. Isso permite ao golpista interagir em tempo real e guiar a vítima para maximizar o roubo, e as campanhas já miram autoridades de trânsito e serviços postais na Ásia e nos Emirados Árabes com pretexto de multas e taxas de entrega.
Fonte ↗O Google Threat Intelligence Group identificou uma campanha de vishing direcionada a funcionários de hedge funds e empresas financeiras, atribuída ao grupo de extorsão UNC6671, antigo BlackFile. Os atacantes ligam para os números pessoais dos funcionários se passando por TI interna, alegam migrações urgentes ou atualizações de MFA/FIDO2, e conduzem as vítimas a portais falsos que capturam credenciais e códigos de autenticação multifator por meio de infraestrutura adversary-in-the-middle. Uma vez dentro, automatizam a extração de dados de ambientes Microsoft 365 e Okta.
Fonte ↗Um artigo da ESET (WeLiveSecurity) descreve como ferramentas de inteligência artificial eliminaram a barreira técnica que antes limitava o reconhecimento detalhado de vítimas a criminosos mais sofisticados. Hoje, a IA consegue cruzar em minutos fotos, publicações e conexões espalhadas em redes sociais para montar perfis completos, usados tanto em phishing altamente personalizado quanto na criação de deepfakes para extorsão e golpes de sextorsão.
Fonte ↗Pesquisadores testaram, em estudo de laboratório com 12 participantes, todas as 25 combinações possíveis entre cinco tipos de engenharia social (phishing, spear-phishing, vishing, smishing e pop-ups) e cinco fatores psicológicos (autoridade, confiança, ganância, curiosidade e um quinto fator), medindo qual combinação convence mais. A mais eficaz foi spear-phishing explorando ganância; pop-ups com autoridade, smishing com autoridade e vishing com curiosidade não convenceram ninguém.
Fonte ↗Pesquisadores da OX Security encontraram 24 pacotes no npm e em mirrors como UNPKG e npmmirror hospedando páginas HTML que imitam a verificação Cloudflare Turnstile, redirecionando visitantes para sites maliciosos independentemente do resultado do captcha. A técnica abusa da reputação de domínios legítimos de infraestrutura de desenvolvimento para contornar filtros de segurança que normalmente bloqueariam domínios de phishing recém-criados.
Fonte ↗A plataforma criminosa AnonyMousKIT, ativa desde início de 2024, usa agentes de IA com personas falsas — por voz, e-mail e SMS — para se passar pela Apple e extrair passcode, credenciais de iCloud e códigos de dois fatores de vítimas de roubo de iPhone. Com esses dados, os operadores desativam o Find My e o Activation Lock para revender os aparelhos, numa estrutura com mais de 500 domínios e 168 "revendedores", com 90% das chamadas direcionadas ao Brasil.
Fonte ↗A Group-IB expôs o Balonx Sistema, uma plataforma de Phishing-as-a-Service operada a partir do México que já mirou mais de 20 instituições financeiras, incluindo o Banamex. O serviço combina páginas de phishing em tempo real que interceptam códigos de segunda fator, um RAT para Android distribuído pela própria página falsa e um módulo de vishing com IA (CallFlow) capaz de sustentar até 30 ligações simultâneas com voz sintética. Uma falha operacional dos próprios criminosos, com repositórios no GitHub vazando código-fonte e credenciais, permitiu o mapeamento completo da operação.
Fonte ↗A CrowdStrike registrou aumento de 2 vezes em intrusões via vishing (phishing por voz) e de 15 vezes em ataques de "device code phishing" nos últimos seis meses. Em ambos os casos, o criminoso engana a vítima por telefone ou por um fluxo de login legítimo baseado em OAuth para obter acesso a contas corporativas sem precisar quebrar senha ou autenticação multifator. Grupos rastreados como CORDIAL SPIDER e SNARKY SPIDER já conseguem roubar dados em menos de cinco minutos após o primeiro contato com a vítima.
Fonte ↗Um estudo em larga escala testou a suscetibilidade de adultos americanos a golpes de vishing (phishing por voz) gerados por seis modelos de síntese de voz de ponta, incluindo ElevenLabs e Gemini, comparando com vozes humanas reais em cinco categorias de golpe. A taxa de adesão às solicitações fraudulentas chegou a 36% no cenário "parente em apuros" e 16,5% em média entre todas as categorias, com o modelo Sesame alcançando persuasão equivalente ou até superior à de vozes humanas.
Fonte ↗A Group-IB expôs o "Balonx Sistema", uma plataforma de Phishing-as-a-Service vendida por assinatura semanal (a partir de 3.000 MXN) que mira mais de 20 instituições financeiras mexicanas, incluindo o Banamex. A operação combina páginas de phishing com WebSocket em tempo real para burlar MFA, um módulo de vishing automatizado por IA generativa (GPT-4o-mini, ElevenLabs, Whisper) e um RAT Android disfarçado de app de "proteção bancária".
Fonte ↗A Microsoft registrou cerca de 7,6 bilhões de ameaças de phishing por email no Q2 2026, com destaque para um ataque de Business Email Compromise automatizado que atingiu mais de 67 mil usuários em 42 mil organizações em menos de três horas. O relatório também aponta crescimento de 19% em ataques de phishing via Microsoft Teams entre março e abril, plataforma que tende a contornar filtros de segurança de email tradicionais.
Fonte ↗Golpistas estão trocando links tradicionais por códigos QR em e-mails para escapar dos filtros antiphishing, já que a URL maliciosa fica codificada como imagem e não como texto analisável. A técnica empurra a vítima do ambiente corporativo, mais protegido, para o smartphone pessoal, onde há menos camadas de defesa, e é usada tanto para roubo de credenciais e tokens de MFA quanto para fraude financeira via aplicativos de pagamento com dados pré-preenchidos. O artigo cita que QR codes maliciosos já apareceram em cerca de 11% dos e-mails de phishing no primeiro semestre de 2026 e que o grupo Kimsuky já usou a tática em campanhas de espionagem.
Fonte ↗Uma falha de autorização no sistema de rastreamento de pedidos da fabricante de hardware wallets SafePal expôs nome, e-mail, endereço, telefone e histórico de compras de 39.798 clientes. A empresa confirma que seed phrases e chaves privadas não vazaram, mas os dados já estão sendo usados em ligações e e-mails de phishing que se passam por suporte técnico pedindo 'atualização de firmware' do dispositivo X1.
Fonte ↗Pesquisadores da ReliaQuest identificaram uma campanha em que roteadores Wi-Fi de hotéis nos EUA, Índia e Arábia Saudita são comprometidos e usados para envenenamento de DNS, redirecionando hóspedes diretamente para telas falsas de login do Microsoft 365. O golpe abusa do fluxo de autenticação por código de dispositivo (device code) do OAuth, dando ao atacante uma sessão já validada por MFA sem nunca capturar a senha da vítima.
Fonte ↗Segundo relatório da Gen Digital para o primeiro semestre de 2026, golpes representaram 46% de todas as detecções de ameaças da empresa, com destaque para o crescimento de 387% em golpes de falsa autoridade (majoritariamente impersonação de governo nos EUA) e de 454% em golpes de falso parente, estes últimos já incorporando clonagem de voz por IA. Skimming de pagamento em checkouts também cresceu 212% no período.
Fonte ↗Pesquisadores da Zscaler ThreatLabz rastrearam, entre janeiro e junho de 2026, uma campanha de vishing em que atacantes primeiro inundam a caixa de entrada da vítima com spam para criar um pretexto de 'problema técnico', depois contatam via Microsoft Teams se passando por suporte de TI e induzem a vítima a conceder acesso remoto via Quick Assist. A partir daí, instalam backdoors e ferramentas de proxy para depois vender o acesso à rede comprometida a operadores de ransomware.
Fonte ↗Uma pesquisa da Trustmi, divulgada pela KnowBe4, encontrou uma desconexão entre a confiança dos funcionários e sua real capacidade de identificar fraudes por engenharia social: 78% acreditam que reconheceriam uma solicitação de pagamento fraudulenta, mas 70% ainda apontam erros de digitação ou gramática como principal sinal de alerta — justamente o indicador que a IA generativa eliminou dos phishings modernos. O estudo reforça que o treinamento corporativo padrão está desatualizado frente a e-mails de phishing gerados por IA, que hoje chegam sem erros e com alta verossimilhança.
Fonte ↗Pesquisadores da KnowBe4 detalharam um kit de phishing que esconde o link malicioso final atrás de um redirecionador PHP hospedado em sites legítimos comprometidos, exibindo uma tela falsa de carregamento do OneDrive e usando um cookie de fingerprint (bp_redir_sess) para bloquear scanners automatizados. As vítimas são finalmente levadas a plataformas adversary-in-the-middle como Sneaky2FA e Tycoon 2FA, que roubam sessões já autenticadas com MFA.
Fonte ↗A Kaspersky identificou uma campanha em que criminosos se passam por clientes interessados em produtos específicos, trocam e-mails para ganhar confiança e só então enviam o link malicioso, geralmente disfarçado de um documento em PDF que exige login corporativo. O objetivo final é capturar e-mail e senha corporativos das vítimas, usando inclusive modelos de linguagem para redigir mensagens convincentes.
Fonte ↗Um funcionário da IEH Corporation, fabricante de conectores para uso militar e aeroespacial, inseriu credenciais do Microsoft 365 em uma página de login falsa após clicar em um link enviado por um atacante que se passou por um contato comercial. O invasor obteve acesso à caixa de e-mail e criou regras maliciosas para manter persistência, expondo e-mails, dados de clientes e documentos de engenharia potencialmente sujeitos às regulações ITAR/EAR.
Fonte ↗O grupo rastreado como UNC6671 (também conhecido como Redact, Pink, Falcon e Helix) ligou para funcionários de mais de 200 empresas fingindo ser o helpdesk de TI, induzindo-os a "atualizar" MFA em sites falsos de passkey. As credenciais e códigos de segundo fator capturados em tempo real permitiram sequestro de contas em Microsoft 365 e Okta, seguido de roubo de dados e extorsão. Entre as vítimas confirmadas estão gestoras como Blackstone, KKR, Apollo, Bain Capital e Moody's, com pagamentos somando mais de US$ 10 milhões em Bitcoin.
Fonte ↗A reportagem argumenta que a inteligência artificial generativa não criou novas fraquezas psicológicas exploradas por golpistas, mas reduziu drasticamente o custo e o tempo necessários para montar ataques de engenharia social convincentes. Exemplos citados incluem phishing sem erros gramaticais gerado em segundos, clonagem de voz em chamadas para reforçar pedidos fraudulentos e perfis falsos no LinkedIn usados como pretexto antes de contatar o suporte técnico. As recomendações de defesa giram em torno de verificação fora de banda e dupla autorização para pagamentos e mudanças administrativas sensíveis.
Fonte ↗A plataforma de phishing-as-a-service Greatness, vendida por US$ 289/mês em canais do Telegram, ampliou seu arsenal contra contas Microsoft 365 com ataques adversary-in-the-middle que capturam tokens de sessão já autenticados por MFA e phishing por device-code. A nova onda se disfarça de notificações da RingCentral, enviadas de servidores IONOS que falham em SPF/DKIM/DMARC mas atravessam filtros porque empresas costumam liberar (whitelist) o domínio legítimo da RingCentral. Com o token replicado, o atacante acessa Outlook, Teams, SharePoint e OneDrive por semanas sem precisar da senha nem burlar o MFA diretamente.
Fonte ↗Um levantamento cita que 53% das organizações sofreram ataques de impersonação direcionada no último ano, com um kit de phishing que identifica o sistema operacional da vítima em milissegundos para escolher o golpe mais eficaz — malware para Windows, coleta de credenciais para Apple, login falso monitorado ao vivo para os demais. Uma campanha de comprometimento de e-mail corporativo (BEC) chegou a atingir mais de 67 mil usuários em 42 mil organizações em menos de três horas, usando impersonação de executivos para desviar pagamentos de folha. O texto reporta ainda que o phishing assistido por IA cresceu 1.200% e que 86% dos ataques de phishing atuais já contêm algum elemento gerado por IA.
Fonte ↗Uma investigação da Flare em milhares de posts de fóruns underground mostra como o RAT Android BTMOB, antes vendido por uma única operação, virou um mercado disputado por revendedores, vendedores de código-fonte e cópias piratas mais baratas. O malware combina controle remoto do smartphone com kits de phishing e roubo de credenciais, reduzindo a barreira técnica para criminosos aplicarem fraude bancária móvel em escala.
Fonte ↗Pesquisadores identificaram e nomearam o 'transaction simulation phishing', técnica que usa contratos inteligentes programados para exibir um resultado benigno na simulação da wallet, mas desviar os fundos na execução real na blockchain. Entre agosto de 2024 e junho de 2025 foram encontrados mais de 4.000 contratos maliciosos, responsáveis por 5.700 vítimas e cerca de US$ 3,48 milhões em prejuízo, majoritariamente na Ethereum.
Fonte ↗O relatório de ameaças da ESET para o primeiro semestre de 2026 aponta nível recorde de 'quishing' — phishing via QR code — e mais que a duplicação de ataques ClickFix, técnica que engana a vítima com falsas telas de erro para que ela mesma execute comandos maliciosos. Ambas as técnicas miram diretamente o usuário final, deslocando a interação para o celular e explorando a confiança implícita das pessoas em códigos QR e mensagens de sistema.
Fonte ↗Pesquisadores da Lexfo identificaram três kits de phishing sofisticados, construídos sobre o framework open-source Evilginx, que atuam como proxy 'adversary-in-the-middle' (AiTM) contra logins do Microsoft 365. Ao interceptar a sessão de autenticação em tempo real, os kits capturam cookies de sessão e tokens OAuth, tornando o MFA tradicional ineficaz depois que a vítima autentica normalmente na página falsa.
Fonte ↗Analistas do KnowBe4 desmontaram um kit de phishing que lê o User-Agent do navegador no instante do clique e decide, em milissegundos, qual ataque aplicar: instalação de ferramenta de acesso remoto disfarçada para usuários Windows, captura isolada de credenciais Apple/Microsoft, ou um fluxo multietapas com operador humano em tempo real para Android/Linux. O detalhe mais grave é o repasse manual de códigos de MFA capturados antes de expirarem, técnica que neutraliza a autenticação por SMS ou aplicativo na maioria dos casos.
Fonte ↗Pesquisadores identificaram uma técnica de phishing batizada de phantom squatting, em que criminosos registram domínios que modelos de linguagem costumam "inventar" como respostas a perguntas de suporte ou login. Ao analisar 913 marcas globais e mais de 685 mil consultas, o estudo encontrou 13.229 URLs maliciosas já ativas explorando esse comportamento e cerca de 250 mil domínios alucinados ainda livres para registro. Um kit de phishing chamado "Montana Empire" já incorpora a técnica em campanhas reais.
Fonte ↗A ReliaQuest identificou uma campanha em que atacantes comprometem gateways de Wi-Fi de hotéis e centros de conferência — explorando interfaces de gerenciamento expostas com credenciais fracas ou reutilizadas — para manipular respostas DNS e redirecionar hóspedes a páginas falsas de login do Microsoft 365, como m365-owa.com e ms365-live.com. Não é necessário e-mail de phishing nem anexo malicioso: basta o viajante se conectar à rede do hotel. O alvo são profissionais em viagem dos setores financeiro, jurídico, saúde, energia e varejo, nos EUA, Índia e Arábia Saudita.
Fonte ↗Pesquisadores da ReliaQuest identificaram dois novos kits de phishing-as-a-service — Jalisco e OmegaLord — voltados a burlar autenticação multifator. Jalisco abusa do fluxo de “device code” do OAuth, gerando códigos de autorização válidos em tempo real para contornar o limite de 15 minutos de expiração; OmegaLord soma a isso a coleta do número de telefone da vítima, permitindo sequestrar também o segundo fator. A técnica é perigosa porque nunca expõe a senha da vítima ao atacante — a autenticação acontece de forma “legítima” nos servidores reais do provedor.
Fonte ↗Pesquisadores da Unit 42 (Palo Alto Networks) documentaram a técnica "phantom squatting": criminosos monitoram quais URLs modelos de IA costumam inventar ao responder perguntas e registram esses domínios inexistentes antes de qualquer outra pessoa, transformando-os em armadilhas de phishing. Como usuários tendem a confiar em links sugeridos por assistentes de IA, o golpe contorna filtros de e-mail e reputação que dependem de o usuário clicar em algo suspeito.
Fonte ↗Pesquisadores da Cisco Talos identificaram o ARToken, um painel de phishing-as-a-service construído sobre a plataforma EvilTokens, que automatiza o sequestro de caixas de entrada corporativas e o disparo de ataques de Business Email Compromise (BEC) personalizados. A ferramenta mostra que o BEC deixou de ser artesanal para se tornar um serviço comercial replicável por qualquer afiliado pagante.
Fonte ↗Pesquisadores compararam um classificador clássico (TF-IDF + regressão logística) com um modelo DistilBERT ajustado, treinados em mais de 82 mil e-mails de seis bases públicas, para detectar phishing. Ambos superaram 98% de acurácia em dados limpos, mas despencaram para cerca de 64% quando testados contra e-mails de phishing deliberadamente alterados para escapar da detecção — queda de mais de 34 pontos percentuais em ambos os modelos. O estudo reforça que acurácia em dados de teste "limpos" não prevê robustez real contra atacantes adaptativos.
Fonte ↗Uma operação conjunta entre autoridades da Alemanha e dos Estados Unidos desmantelou a infraestrutura central do Kratos, serviço de phishing por assinatura usado por cerca de 1.800 clientes criminosos para atacar vítimas em ao menos 35 países. A plataforma automatizava a criação de páginas falsas de login da Microsoft para roubar credenciais e sequestrar contas, chegando a rodar cerca de 15 mil campanhas por mês. O desenvolvedor do serviço foi preso na Indonésia e mais de 200 servidores foram apreendidos.
Fonte ↗A KnowBe4 relatou que o ClickFix — a técnica que faz a própria vítima copiar e executar um comando malicioso a partir de um falso erro ou CAPTCHA — se tornou o vetor de entrega de malware mais usado, contornando controles de endpoint.
Fonte ↗A Group-IB descreveu um esquema de venda de ingressos falsos que combina abordagem por redes sociais e sites que imitam distribuidoras oficiais para roubar dados de pagamento de fãs em busca de shows concorridos.
Fonte ↗A Kaspersky detalhou as táticas de manipulação psicológica que golpistas usam para desligar o pensamento crítico da vítima — do medo à urgência artificial — e como reconhecê-las a tempo.
Fonte ↗Uma operação de phishing modular batizada de GitBait está mirando ao menos 12 instituições financeiras que operam no México, distribuída via WhatsApp, SMS e Telegram. A infraestrutura abusa do GitHub Pages para hospedar mais de 100 domínios com scripts ofuscados, exfiltrando as credenciais roubadas através da API pública SheetBest, que grava tudo em planilhas Google controladas pelos criminosos.
Fonte ↗A Group-IB detalhou o SniperDz, um ecossistema centralizado de Phishing-as-a-Service com mais de 80 templates prontos que imitam cerca de 30 marcas globais (PayPal, Facebook, Netflix, Steam), operando sobre mais de 900 domínios. A plataforma usa permissões de notificação do navegador para prender a vítima e monetiza o tráfego roteando-o para chamadas premium, SMS premium, fraude de investimento e geração de leads.
Fonte ↗A Group-IB expôs a operação Error 524 Decoy, que já registrou 4.389 domínios de phishing imitando mais de 260 marcas em 72 países, com 60% da atividade concentrada na América Latina (México, Chile e Colômbia à frente). A técnica usa páginas de erro do Cloudflare falsificadas para escapar de análise, geofencing por país e dispositivo, e exfiltração de dados de cartão em tempo real via WebSocket criptografado.
Fonte ↗A Group-IB identificou seis esquemas de fraude distintos e quatro grupos de ameaça explorando a Copa do Mundo 2026, com destaque para o GHOST STADIUM, operação de phishing chinesa que já registrou mais de 4.300 domínios falsos imitando a FIFA e clona com fidelidade quase perfeita o fluxo de login oficial da entidade. As perdas estimadas apenas com ingressos falsos variam de US$ 71 milhões a US$ 474 milhões, com potencial de chegar a bilhões somando todos os esquemas.
Fonte ↗A Cyble (CRIL) documentou o OverlayPhantom, trojan Android que mira mais de 180 apps financeiros em dez países, usando overlays em WebView e transmissão de tela em tempo real via MediaProjection.
Fonte ↗A ESET reuniu os principais tipos de golpe que se intensificam durante turbulências geopolíticas, do phishing bancário disfarçado de aviso sobre o conflito ao romance scam com militares fictícios, passando por doações falsas, fraude de viagem e investimentos com falsa 'proteção contra inflação'. Segundo dados do FBI citados no artigo, romance scams renderam US$929 milhões em prejuízos em 2025, e fraudes de investimento, US$8,6 bilhões.
Fonte ↗A Microsoft mapeou o cenário de ameaças por e-mail no primeiro trimestre de 2026: 8,3 bilhões de tentativas de phishing, explosão de ataques com QR code em PDFs e cerca de 10,7 milhões de golpes de BEC.
Fonte ↗A ESET descreve como golpistas exploram tanto vazamentos reais quanto inventados para disparar notificações falsas de "seu dado foi vazado", levando vítimas a clicar em links de phishing sob pressão de urgência. Com ferramentas de IA, essas mensagens hoje chegam sem os erros de português que antes as denunciavam, tornando a verificação por canal independente essencial.
Fonte ↗A ESET descreve como o grupo Silver Fox, ativo desde 2023, aproveita a temporada anual de declaração de imposto e mudanças de RH no Japão para enviar phishing personalizado com nomes reais de empresas, entregando o trojan de acesso remoto ValleyRAT a funcionários. O timing sazonal explora o momento em que profissionais estão mais propensos a abrir comunicações fiscais e de RH sem desconfiar.
Fonte ↗A Group-IB identificou uma campanha de smishing em larga escala no Oriente Médio e África que finge notificações de entrega falha para roubar cartões, CVVs e códigos OTP em tempo real. A operação usa domínios descartáveis e páginas otimizadas para celular, com fortes indícios de ligação ao kit de phishing-as-a-service chinês Darcula, e cresceu de forma explosiva em 2025, com picos em datas comemorativas.
Fonte ↗A Group-IB expôs a campanha GTFire, que hospeda páginas de phishing em subdomínios do Firebase (web.app) e usa links do Google Translate (translate.goog) como camada de redirecionamento para ganhar credibilidade e escapar de filtros de segurança. A operação já afetou mais de mil organizações em mais de cem países, coletando credenciais duas vezes por vítima através de um truque de "senha incorreta" antes de redirecionar ao site legítimo.
Fonte ↗A Group-IB mapeou uma rede de cerca de 370 domínios falsos e 35 anúncios em redes sociais que imitam bancos peruanos para atrair vítimas com ofertas de empréstimo fácil, extraindo DNI, dados de cartão validados por algoritmo de Luhn, senha bancária e PIN. O esquema, sustentado por um script JavaScript ofuscado, já se expandiu para Colômbia, El Salvador, Chile e Equador.
Fonte ↗Uma campanha ativa desde agosto de 2025 usa e-mails que imitam notificações do DocuSign para levar vítimas corporativas a páginas de captura de credenciais construídas com o framework LogoKit, que busca automaticamente o logo e o layout da própria empresa da vítima para dar mais credibilidade ao golpe. A infraestrutura fica hospedada em gateways IPFS e buckets S3, dificultando remoção rápida.
Fonte ↗A Group-IB descreve um kit de phishing multi-estágio contra clientes da Aruba S.p.A., provedora italiana de hospedagem e domínios com 5,4 milhões de clientes, projetado para roubar não só credenciais de login como também dados completos de cartão e o código de verificação 3D Secure. O kit usa CAPTCHA para filtrar bots de segurança, uma réplica fiel da tela de login pré-preenchida com o e-mail da vítima, uma cobrança fictícia de baixo valor para capturar o cartão, e por fim intercepta o OTP bancário — exfiltrando tudo em tempo real via Telegram, com canal duplicado para redundância. A operação ilustra como o phishing-as-a-service está cada vez mais industrializado e automatizado.
Fonte ↗A Group-IB mapeou cinco formas concretas pelas quais criminosos usam IA generativa para escalar fraude: deepfakes para suplantação de identidade, centrais de golpe com voz sintética, "dark LLMs" sem censura vendidos por assinatura, ferramentas de spam com personalização automática e kits de malware com módulos de IA embutidos. O levantamento estima US$ 350 milhões em perdas só com deepfakes no segundo trimestre de 2025, evidenciando que a IA já reduziu a barreira técnica para golpes sofisticados.
Fonte ↗O trojan bancário Qwizzserial, identificado pela primeira vez pela Group-IB em meados de 2024, teve forte crescimento de atividade no Uzbequistão ao se disfarçar de aplicativos legítimos e canais oficiais do governo distribuídos via Telegram. Uma vez instalado, ele intercepta SMS de bancos e códigos OTP, filtra mensagens por valor de transação e envia os dados roubados para bots do Telegram controlados pelos criminosos.
Fonte ↗Uma campanha de phishing identificada pela Group-IB usa e-mails que imitam a autoridade fiscal holandesa (Belastingdienst/MijnOverheid), alegando uma obrigação fictícia de "declaração especial de criptoativos", para levar vítimas a um site clonado que rouba seed phrases ou induz assinatura de transações maliciosas via WalletConnect. O golpe usa infraestrutura de "drainer as a service" (como o Inferno Drainer), que esvazia carteiras de forma quase instantânea e irreversível.
Fonte ↗A Group-IB identificou mais de 100 sites fraudulentos ativos desde 2024 na Colômbia que se passam por seguradoras legítimas do SOAT (seguro obrigatório de trânsito), atraindo vítimas com anúncios de desconto no Facebook e conduzindo a negociação por WhatsApp. Para parecer legítimo, o golpe consulta dados públicos reais do veículo a partir da placa informada antes de coletar dados pessoais e bancários da vítima e desviar o pagamento para contas criminosas.
Fonte ↗Uma campanha de smishing identificada pela Group-IB mira usuários de um serviço de pedágio, enviando SMS sobre supostas dívidas pendentes com ameaça de multa para gerar urgência. A página de phishing usa cloaking via Google AMP para escapar de filtros, faz fingerprinting do navegador para bloquear VPNs, IPs de datacenter e ferramentas como VirusTotal e urlscan.io, e valida os dados de cartão inseridos com o algoritmo de Luhn antes de exfiltrá-los.
Fonte ↗A Group-IB documentou a expansão do Classiscam, esquema de fraude "como serviço" que usa bots de Telegram para gerar em segundos páginas falsas de marketplaces, transportadoras e até órgãos governamentais. Operadores contratados abordam vendedores em anúncios classificados, sugerem migrar a conversa para o Telegram e induzem a vítima a "confirmar o recebimento do pagamento" num site clonado que na verdade rouba dados de cartão e login bancário. Na Ásia Central a investigação encontrou dezenas de domínios ativos mirando bancos e serviços de pagamento do Uzbequistão.
Fonte ↗Uma campanha de phishing identificada pela Group-IB mirou funcionários de mais de 30 empresas em 12 setores e 15 países, hospedando páginas maliciosas em domínios confiáveis como Adobe InDesign e DocuSign e usando redirecionamentos via Google AMP para escapar de gateways de segurança de e-mail (SEG). As páginas ainda personalizavam o logo da empresa-alvo via API pública, tornando a isca muito mais convincente.
Fonte ↗Pesquisadores identificaram uma campanha coordenada de phishing que se passa por serviços postais em Croácia, Romênia, Sérvia e Eslovênia, usando páginas clonadas quase idênticas às oficiais para roubar dados pessoais e cobrar 'taxas de entrega' fraudulentas. A infraestrutura por trás do golpe parece atender vários países ao mesmo tempo, sugerindo um operador único ou um kit de phishing compartilhado entre grupos regionais.
Fonte ↗A Group-IB documentou uma campanha ativa na Malásia usando o RAT Android CraxsRAT para roubar credenciais bancárias e realizar saques não autorizados, com mais de 190 amostras identificadas concentradas em Kuala Lumpur. As vítimas são atraídas por sites de phishing que imitam marcas locais de alimentação, logística e varejo antes de serem induzidas a instalar o app malicioso.
Fonte ↗A Group-IB identificou e rastreou o GXC Team, um grupo que vende phishing-as-a-service com IA e malware Android para interceptar OTP, já tendo mirado 36 bancos espanhóis e outras 30 instituições em países como EUA, Reino Unido, Eslováquia e Brasil. O diferencial do grupo é combinar kits de phishing tradicionais com chamadas de voz geradas por IA para induzir vítimas a entregar códigos de autenticação, elevando bastante a sofisticação do golpe.
Fonte ↗RAT para Android derivado do código vazado do Spymax dá controle total sobre o aparelho da vítima, incluindo captura de credenciais bancárias, SMS e câmera. Distribuído via aplicativos falsos que imitam marketplaces, salões de beleza, restaurantes e até um 'centro antifraude' fictício, já foi usado em campanhas em Singapura contra cerca de dez marcas diferentes desde 2023.
Fonte ↗O LabHost era uma plataforma canadense de 'phishing-as-a-service' que vendia, por assinatura de US$ 250-300/mês, kits prontos para atacar clientes de bancos como Royal Bank, BMO, CIBC e o sistema de transferências Interac. Com módulos para disparo de SMS em massa e captura de códigos 2FA em tempo real, a operação foi derrubada por ação policial internacional com apoio de inteligência da Group-IB.
Fonte ↗Descoberto pela Group-IB, o VietCredCare é um infostealer em .NET, ativo desde 2022, especializado em roubar credenciais de navegadores vietnamitas e filtrar automaticamente quais contas comprometidas administram anúncios no Facebook Business com saldo de crédito disponível — um alvo de maior valor para revenda ou uso em campanhas fraudulentas.
Fonte ↗O Inferno Drainer foi um serviço de 'wallet drainer as a service' que, entre novembro de 2022 e novembro de 2023, ajudou afiliados a roubar cerca de US$ 80 milhões em criptomoedas por meio de mais de 16 mil domínios de phishing imitando protocolos Web3 como Seaport e WalletConnect, além de mais de 100 marcas cripto. Mesmo após o encerramento anunciado, o painel seguiu ativo até janeiro de 2024, e o modelo de negócio de comissão 80/20 já inspira sucessores.
Fonte ↗A Group-IB detalhou o funcionamento do GoldDigger, trojan bancário Android que se disfarça de app governamental ou de concessionária de energia vietnamita para monitorar 51 aplicativos financeiros, carteiras digitais e apps de criptomoeda. Usando abuso do serviço de acessibilidade e um protetor comercial (Virbox) para dificultar análise, o malware captura senhas, telas e até códigos de segunda autenticação.
Fonte ↗A Group-IB mapeou dois vetores de fraude contra passageiros: sites falsos que imitam companhias aéreas para roubar dados de cartão sob pretexto de sorteios ou pesquisas, e centrais de atendimento fraudulentas que se passam por suporte oficial para extrair credenciais e instalar RATs. Contas de milhas comprometidas alimentam ainda um mercado de revenda na dark web.
Fonte ↗A Group-IB atualizou o retrato do Classiscam, esquema de "fraude como serviço" nascido na Rússia em 2019 que automatiza phishing contra usuários de sites de classificados e marketplaces. Com bots do Telegram gerando páginas falsas de pagamento em segundos e uma hierarquia agora altamente especializada, o esquema já foi identificado em 79 países, imitando 251 marcas e movimentando US$ 64,5 milhões.
Fonte ↗A Group-IB descreveu o Gigabud, trojan bancário Android ativo desde 2022 com duas variantes: uma versão RAT que abusa do serviço de acessibilidade para gravar tela e simular apps de bancos, e uma versão "Loan" que se disfarça de aplicativo de empréstimo fácil para coletar documentos e dados bancários. O malware já mirou mais de 99 instituições financeiras e órgãos governamentais em Tailândia, Indonésia, Vietnã, Filipinas e Peru.
Fonte ↗Entre fevereiro e março de 2023, a Group-IB identificou mais de 3.200 perfis fraudulentos se passando por suporte técnico da Meta/Facebook, ativos em 23 idiomas e com indícios de operação desde dezembro de 2020. O golpe usava marcas oficiais e alegações de violação de política para levar vítimas a mais de 220 sites de phishing, coletando tanto senha quanto cookies de sessão — o que permite tomar a conta mesmo sem a senha. Contas comprometidas eram reutilizadas para golpear os próprios seguidores da vítima, criando um efeito cascata.
Fonte ↗A Group-IB documentou a operação da PostalFurious, grupo de língua chinesa ativo desde 2021 que envia SMS falsos de "entrega não realizada" imitando transportadoras reais para induzir a vítima a acessar sites de phishing com typosquatting. As páginas filtram por geolocalização e tipo de dispositivo para só exibir o golpe a alvos relevantes, coletando dados de cartão de crédito e código OTP para realizar transações não autorizadas. A infraestrutura, baseada em kits de phishing em Laravel com painel administrativo, foi rastreada até templates preparados também para França e outros países da Ásia-Pacífico.
Fonte ↗A Group-IB mapeou uma campanha de falsas vagas de emprego que, entre janeiro de 2022 e janeiro de 2023, criou mais de 2.400 páginas fraudulentas no Facebook imitando mais de 40 marcas conhecidas, com foco no setor de logística (64% dos casos). O golpe usa salários irreais para atrair candidatos desesperados, redireciona para páginas de phishing que imitam o login de redes sociais e, após o roubo das credenciais, sequestra a conta e exige resgate para devolvê-la à vítima. Egito, Arábia Saudita e Argélia concentram a maior parte das páginas identificadas.
Fonte ↗A Group-IB catalogou oito padrões recorrentes de golpe ao consumidor em datas comemorativas: smishing com marcas falsas, lojas clonadas, fraude com cartão-presente, perfis falsos de celebridades vendendo produtos, pacotes de viagem fraudulentos, pesquisas falsas com prêmio, anúncios classificados isca e empréstimos rápidos fraudulentos. Embora o levantamento seja de 2022, os padrões descritos continuam sendo a base da maioria dos golpes sazonais atuais, incluindo os que circulam em datas comemorativas brasileiras como Black Friday e Natal. A recomendação central para marcas é registro defensivo de domínios similares e uso de soluções de Proteção de Risco Digital (DRP) combinadas com monitoramento de redes sociais.
Fonte ↗Pesquisadores da Group-IB identificaram mais de mil domínios falsos imitando uma conhecida agência saudita de recrutamento de trabalhadores domésticos, promovidos via anúncios em redes sociais e conversas no WhatsApp. O golpe combina phishing de dados pessoais, cobrança de uma falsa "taxa de processamento" e, na etapa final, captura de credenciais bancárias e código de autenticação de dois fatores das vítimas.
Fonte ↗A Group-IB analisa como golpes online se tornaram uma indústria profissionalizada, com sindicatos criminosos globais desenvolvendo roteiros de fraude e distribuindo-os para operações locais, apoiados por call centers organizados e campanhas de marketing digital. O artigo cita que os golpes causaram mais de US$ 55 bilhões em prejuízos em 2021, um crescimento de 15,7% em relação ao ano anterior, com jovens de 18 a 30 anos cada vez mais visados.
Fonte ↗A Group-IB detalha a campanha 0ktapus, que usou smishing e kits de phishing simples para roubar quase 10 mil credenciais e mais de 5 mil códigos MFA de funcionários de mais de 130 organizações, majoritariamente empresas de TI e nuvem nos EUA e Canadá. O golpe evoluiu para um ataque em cadeia de suprimento, comprometendo Twilio, Mailchimp e Klaviyo e usando esse acesso para atingir ainda mais vítimas, incluindo carteiras de criptomoedas.
Fonte ↗A Group-IB identificou uma campanha massiva de phishing com 240 domínios interligados que se passam por 27 instituições financeiras do Vietnã, ativa desde maio de 2019. Vítimas são atraídas por SMS, Telegram, WhatsApp e comentários falsos em redes sociais, levadas a um site que lista os bancos e depois a um portal clonado que rouba tanto a senha quanto o código OTP em tempo real, permitindo acesso imediato à conta real.
Fonte ↗A Group-IB mapeou três grupos distintos de criminosos que se passavam pela operadora postal SingPost para roubar dados pessoais e bancários de vítimas em Singapura, somando dezenas de vítimas confirmadas e prejuízo de centenas de milhares de dólares. As táticas variavam de SMS fraudulentos com cobrança de falsas taxas de entrega até aplicativos Android trojanizados que interceptavam SMS para roubar códigos OTP, e até phishing em tempo real com técnica man-in-the-middle para burlar a autenticação de dois fatores.
Fonte ↗A Group-IB revelou uma infraestrutura industrializada de phishing direcionado que gera links únicos e personalizados para cada vítima, usando geolocalização, fuso horário e idioma para aumentar a credibilidade do golpe e escapar de detecção automatizada. O esquema explora mais de 120 marcas internacionais — sobretudo empresas de telecomunicações — como isca de falsas premiações, atingindo milhares de vítimas por dia em dezenas de países.
Fonte ↗A Group-IB identificou três grandes redes de sites falsos que se passam por lojas underground de venda de dados de cartões roubados, cobrando 'taxas de ativação' de vítimas que nunca recebem nada em troca. Uma das redes, batizada SPAGETTI, operava mais de 3 mil domínios e movimentou mais de US$ 1,2 milhão, além de distribuir o infostealer Taurus Project para roubar credenciais bancárias e carteiras cripto das próprias vítimas. É um caso de fraude 'entre criminosos', mas que evidencia técnicas de phishing e distribuição de malware financeiro replicáveis contra qualquer usuário.
Fonte ↗A Group-IB descobriu uma operação de golpe em grande escala que usa mais de 4.300 páginas fraudulentas hospedadas no Blogspot, se passando por mais de 47 marcas de telecomunicações e outras empresas conhecidas em 16 países árabes. O esquema usa a isca clássica de 'sorteio premiado' para coletar dados pessoais e induzir as vítimas a compartilhar o golpe em massa pelo WhatsApp, redirecionando depois para phishing, golpes de romance e instaladores maliciosos. A campanha está ativa desde 2013 e teve alta de 54% em novas páginas só no primeiro semestre de 2021.
Fonte ↗O CERT-GIB do Group-IB descobriu uma campanha de phishing via SMS (smishing) que usa mais de 750 domínios para se passar por bancos e outras instituições holandesas, aplicando uma tática batizada de 'corte o cartão' para roubar credenciais bancárias completas. A técnica combina engano digital com uma etapa física inédita no país: pedir que a vítima corte o próprio cartão (que continua funcional) e agende a 'retirada' por um suposto funcionário do banco. As páginas de phishing usavam geolocalização e ferramentas anti-bot para evitar detecção, chegando a durar 6 dias no ar contra a média de 24 horas.
Fonte ↗A Group-IB expôs a Fraud Family, um grupo criminoso de língua neerlandesa que vendia e alugava kits de phishing completos, com painéis de controle em tempo real, para outros golpistas atacarem residentes da Holanda e Bélgica. O esquema incluía bypass de autenticação de dois fatores e spoofing de marcas de bancos e empresas conhecidas. A investigação, feita em colaboração com a polícia holandesa, resultou na prisão de dois suspeitos.
Fonte ↗A Group-IB analisou um grande banco de dados de kits de phishing usados para clonar páginas de login de marcas conhecidas. O estudo mostra como esses kits são vendidos e reutilizados por criminosos para roubar credenciais e dados bancários em massa. Mais de 260 marcas foram identificadas como alvo em 2020, com destaque para serviços de e-mail, financeiros e plataformas online.
Fonte ↗A Group-IB detalhou o Classiscam, um esquema de fraude automatizada nascido na Rússia em 2019 que já opera como um verdadeiro 'scam as a service', com bots do Telegram gerando páginas falsas de transportadoras para roubar dados de cartão de vítimas de sites de classificados. O esquema conta com cerca de 40 grupos criminosos, mais de 5 mil golpistas cadastrados e movimenta acima de 6 milhões de dólares por ano em mais de 40 países.
Fonte ↗A Group-IB descreveu uma campanha que combinou o JS-sniffer FakeSecurity, injetado em lojas online Magento para capturar dados de cartão no checkout, com o infostealer Raccoon, distribuído via documentos maliciosos e páginas de phishing disfarçadas de Adobe Reader. A operação, ativa entre fevereiro e setembro de 2020, tinha como objetivo explícito roubar dados de pagamento e credenciais de usuários em múltiplas frentes simultâneas.
Fonte ↗Pesquisadores identificaram uma campanha de phishing chamada PerSwaysion que abusa dos serviços legítimos de compartilhamento de arquivos da Microsoft (Sway, SharePoint e OneNote) para roubar credenciais de Office 365. O golpe já comprometeu mais de 150 executivos de alto escalão em empresas financeiras, escritórios de advocacia e imobiliárias, principalmente nos EUA, Canadá e centros financeiros globais.
Fonte ↗O grupo cibercriminoso Cobalt Gang manteve em 2019 uma campanha ativa de phishing direcionada a funcionários de instituições financeiras ao redor do mundo. A campanha usa e-mails com arquivos IMG contendo atalhos maliciosos que, por meio de PowerShell ofuscado e bypass de UAC, instalam um stager que baixa o Cobalt Strike para dar aos atacantes acesso persistente aos sistemas bancários comprometidos.
Fonte ↗Em campanha mapeada pela Group-IB, criminosos registraram mais de 500 sites falsos aproveitando o lançamento do iPhone X para aplicar golpes de pagamento antecipado, sorteios fraudulentos e distribuição de malware, com potencial de dano estimado em US$ 34 milhões e um único site chegando a faturar US$ 68 mil por mês. O caso é um exemplo clássico — hoje ainda replicado a cada lançamento de produto de alta demanda — de como escassez artificial e hype são usados para baixar a guarda da vítima.
Fonte ↗A Group-IB identificou cerca de 86 domínios falsos imitando marcas como Lufthansa, Air Canada, British Airways e Air France, promovidos por posts virais no Facebook oferecendo passagens grátis — o segundo ataque do tipo contra o setor em seis meses. O golpe coletava dados pessoais das vítimas através de um falso questionário de 'sorteio' e incentivava o compartilhamento em massa da campanha, ampliando organicamente seu alcance.
Fonte ↗