161 publicações marcadas com esta tag.
A Capcom confirmou acesso não autorizado ao serviço CAPCOM ID, expondo cerca de 11,7 milhões de endereços de e-mail e metadados de conta, com senhas alteradas sem autorização em 196 contas. A própria empresa alertou os usuários para o risco de campanhas de phishing que se passem por comunicações oficiais da Capcom ou de parceiros.
Fonte ↗Pesquisadores da Netcraft identificaram uma técnica em que atacantes enviam convites de calendário ICS maliciosos que se instalam diretamente na agenda da vítima, contornando filtros de segurança de e-mail. A técnica já está incorporada ao kit de phishing EvilTokens, voltado ao roubo de credenciais de contas Microsoft 365, e persiste no calendário mesmo após o e-mail original ser apagado.
Fonte ↗Um ator de ameaça comprometeu o pipeline de release do projeto LiteLLM em 21 de outubro de 2026 e publicou a versão 1.107.0 com malware infostealer embutido, distribuído simultaneamente via PyPI, Docker Hub e GHCR. O malware coleta credenciais de nuvem, segredos de CI/CD, dados de navegador e variáveis de ambiente das máquinas infectadas.
Fonte ↗Pesquisadores da Malwarebytes alertam que o uso de IA para automatizar candidaturas de emprego está deixando candidatos mais vulneráveis a golpes. Quando o processo é automatizado, o candidato perde o controle sobre onde se candidatou, o que torna mensagens de recrutadores falsos mais plausíveis. Os golpistas exploram essa confusão com aplicativos de entrevista maliciosos, convites falsos de agendamento e pedidos de pagamento antecipado.
Fonte ↗Uma campanha ativa está usando páginas falsas do Calendly disfarçadas de agendamento de entrevista na Meta para roubar credenciais do Facebook e do Google de candidatos a emprego. Após a vítima preencher dados na página de agendamento falsa, ela é redirecionada a uma tela de login clonada, e o atacante captura a senha — e o código de MFA — em tempo real.
Fonte ↗A Operação Serengeti III, coordenada pela Interpol entre junho e agosto de 2026 em 21 países africanos, prendeu 1.462 suspeitos e desmantelou 10.909 redes criminosas ligadas a BEC, golpes de investimento e aposentadoria, apps de empréstimo fraudulentos e mineração ilegal de criptomoedas. Foram recuperados US$ 105 milhões e identificadas quase 66 mil vítimas, com perdas estimadas em US$ 385 milhões. Um caso na Nigéria envolveu um único operador de phishing/BEC que acumulou 2,1 milhões de endereços de e-mail roubados.
Fonte ↗O Group-IB identificou o SiriusQT, um trojan de acesso remoto (RAT) para Windows vendido como serviço (MaaS) em fóruns da deep web desde abril de 2026 por um operador conhecido como "GhostKernel". O malware combina HVNC, roubo de credenciais de navegadores Chromium, tokens do Discord e carteiras de criptomoedas, além de keylogging, captura de câmera/microfone e clonagem de perfil de navegador para sequestro de sessão. Cerca de 30 compradores já operam campanhas identificadas no Reino Unido, Alemanha, França, Espanha, Itália e Países Baixos.
Fonte ↗Pesquisadores da Island identificaram uma campanha de phishing ativa que se disfarça de anúncios de ferramentas de IA populares — Gemini, Claude, ChatGPT, Perplexity e Muse — para atrair profissionais de marketing e mídia paga. A operação usa uma técnica de "navegador dentro do navegador" com barra de endereço falsificada para capturar credenciais e tokens de MFA em tempo real, visando contas de anúncios corporativas que já têm método de pagamento e orçamento aprovados.
Fonte ↗A Justiça americana condenou Chukwuemeka Victor Amachukwu a oito anos de prisão por liderar, entre 2019 e 2021, uma rede que usou spearphishing para invadir computadores de escritórios de contabilidade e preparação de impostos nos EUA, roubando dados fiscais e pessoais de mais de 800 clientes. Com essas informações, o grupo solicitou cerca de US$ 8,4 milhões em restituições fiscais fraudulentas (dos quais obteve US$ 2,5 milhões), quase US$ 820 mil em empréstimos emergenciais da SBA e mais de US$ 7 milhões por meio de um esquema de investimento falso com cartas de crédito fraudulentas.
Fonte ↗Pesquisadores do Group-IB documentaram como operadores do esquema Classiscam estao abusando do processo de cadastro de plataformas de spend management (gestao de despesas corporativas) para dois fins ao mesmo tempo: disparar notificacoes de pagamento falsas que imitam marketplaces conhecidos (phishing) e usar a integracao de open banking dessas plataformas para testar, de graca, se cartoes e credenciais bancarias roubados ainda estao ativos e com saldo. Como o abuso ocorre inteiramente na camada de cadastro e verificacao, ele fica invisivel para o monitoramento transacional tradicional, que so observa a movimentacao de dinheiro.
Fonte ↗O FBI realizou buscas em 40 residências no Texas como parte da operação 'Lonestar Roundup', desmontando um esquema que colocou agentes norte-coreanos como falsos funcionários remotos em mais de 70 empresas americanas usando identidades roubadas ou falsas. Dois cidadãos americanos foram presos e 14 pessoas indiciadas por facilitar o esquema, que operou de 2019 a 2025 e gerou cerca de US$ 3 milhões destinados ao regime da Coreia do Norte.
Fonte ↗Pesquisadores da ESET identificaram uma campanha de phishing que mira criadores de conteúdo do YouTube com propostas falsas de patrocínio de marcas como Nike, Spotify e Hollyland. Os golpistas constroem confiança ao longo de uma negociação simulada antes de induzir a vítima a conceder acesso à sua conta Google via um site fraudulento com métricas de campanha e calculadora de cachê. O objetivo final é o sequestro da conta e do canal, não apenas o roubo de senha.
Fonte ↗Uma análise sobre a aplicação prática da diretiva europeia NIS2 mostra como dados roubados de fornecedores e parceiros de cadeia de suprimentos estão sendo reaproveitados para montar ataques de phishing e vishing extremamente convincentes contra funcionários de empresas maiores. Entre os exemplos citados está uma campanha de nove meses contra empresas de logística e frete que comprometeu mais de 1.600 credenciais, além do vazamento da base de bilhetes da Trenitalia na Itália. O ponto central é que dados operacionais reais tornam a isca quase indistinguível de uma comunicação legítima.
Fonte ↗Uma pesquisa da Consumer Reports mostra que 91% dos americanos já foram alvo de algum golpe e 17% efetivamente perderam algo para um deles. O dado mais relevante é que 20% das vítimas relataram golpes personalizados com dados pessoais reais, chegando a 32% nas tentativas feitas por telefone, o que a entidade atribui ao uso combinado de dados vazados em brechas com ferramentas de IA generativa. As taxas de adoção de proteções básicas, como checar links antes de clicar ou usar autenticação multifator, ainda ficam bem abaixo de 100%.
Fonte ↗Pesquisadores da ThreatFabric identificaram o Hirudo, um trojan bancário para Android que não usa tela de login falsa por cima do app real — em vez disso, ele desinstala o aplicativo bancário legítimo e instala, no lugar, uma cópia modificada com as verificações de segurança desativadas. O malware já mirou oito apps de sete bancos indonésios e também foi visto atacando usuários na China, Índia, México, Marrocos e Tailândia.
Fonte ↗A empresa de segurança Island identificou uma campanha de phishing que se disfarça de plataforma de ferramentas de anúncios com inteligência artificial, usando identidade visual de Gemini, Claude, ChatGPT, Perplexity e Muse. O alvo são profissionais que administram contas de anúncios (agências e media buyers), e o golpe usa um navegador falso embutido para capturar senhas, dados do dispositivo e códigos de autenticação multifator em tempo real.
Fonte ↗Microsoft e a Agência Nacional de Polícia do Japão, com apoio de Cloudflare, Oracle, Proofpoint, TRM Labs e outros parceiros, desmantelaram uma infraestrutura de phishing-as-a-service responsável por mais de 1 bilhão de mensagens maliciosas contra 75 mil organizações em 150 países. A operação atingiu o marketplace clandestino YAM Store e os kits de phishing CoGUI, Haozi e Iron Man, resultando na desativação de mais de 20 mil contas e bloqueio de 100 mil domínios.
Fonte ↗Cobertura complementar da BleepingComputer sobre o trojan Android Hirudo confirma, com citações diretas da ThreatFabric, que o malware lança o desinstalador do próprio app bancário e instala uma cópia adulterada usando a permissão de Acessibilidade. A reportagem detalha ainda como o hooking interno falsifica certificados de atestação e oculta a presença de serviços de acessibilidade para não disparar alarmes do próprio banco.
Fonte ↗O vazamento do builder crackeado do XWorm em 2025 fez as detecções do malware quadruplicarem, segundo a Netskope Threat Labs, que já identificou quatro versões ativas com 46 plugins. O setor financeiro responde por cerca de 35% das organizações atingidas, com forte atividade também no Brasil, e o diferencial do malware é um plugin que controla o navegador da vítima ao vivo, dispensando o roubo de credenciais e tornando a autenticação multifator irrelevante.
Fonte ↗Pesquisadores propuseram o CredLeakBench, um benchmark que mede se agentes baseados em LLM — usados para automatizar tarefas como e-mail, redes sociais e operações bancárias — entregam credenciais e dados sensíveis quando confrontados com phishing, inclusive quando monitoram a caixa de entrada de forma autônoma sem que o usuário tenha pedido login. O resultado: todos os modelos testados vazaram informação em algum grau, e as mitigações que reduzem o vazamento também prejudicam a capacidade do agente de cumprir tarefas legítimas.
Fonte ↗Uma campanha ativa comprometeu mais de 100 sites para exibir uma tela falsa de verificação anti-bot do Cloudflare que, na prática, induz a vítima a copiar e colar um comando malicioso no Executar, PowerShell ou Prompt de Comando do Windows — a técnica conhecida como ClickFix. O comando instala o infostealer LunexStealer, que rouba senhas, cookies e histórico de navegação e pode assumir controle remoto do navegador da vítima.
Fonte ↗Criminosos se passam por marcas conhecidas (como Nike, Spotify e Hollyland) e oferecem parcerias pagas a criadores de conteúdo, levando-os a um site falso que imita uma plataforma profissional de colaborações. Ao autenticar com Google nesse site, a vítima tem a senha e o código de verificação capturados em tempo real, perde a conta e os golpistas trocam e-mail e telefone de recuperação para travar o acesso do dono original.
Fonte ↗A Malwarebytes identificou uma campanha de phishing que promete 10 mil assinaturas gratuitas do Claude Max da Anthropic para atrair vítimas e roubar credenciais do Google. O site falso reproduz logo, cores e depoimentos forjados da Anthropic, usa contador regressivo para criar urgência e abre uma janela de navegador falsa (browser-in-the-browser) idêntica à tela de login real do Google. Toda interação de senha é redirecionada para essa janela fraudulenta, inclusive desativando o botão de login via Apple para forçar a vítima a usar a conta Google.
Fonte ↗Uma campanha voltada a gestores de contas de publicidade usa sites fraudulentos que imitam ChatGPT, Gemini, Claude e Perplexity, anunciando-se como ferramentas de gestão de campanhas de mídia paga. Ao clicar em conectar, a vítima vê uma falsa tela de login do Google renderizada dentro de um iframe que imita uma janela de navegador real, e um operador humano assume o ataque em tempo real para extrair senhas, códigos de SMS, aprovações de autenticador ou QR codes e assim contornar o MFA.
Fonte ↗O grupo de mídia japonês Nikkei revelou dois incidentes distintos de comprometimento de contas de funcionários: uma conta Google Workspace invadida em julho, descoberta somente após alerta do próprio Google, e uma conta Microsoft 365 invadida em setembro. A conta Microsoft comprometida foi usada para disparar cerca de 9 mil e-mails de phishing a funcionários e entrevistados da empresa, enquanto a invasão da conta Google expôs nomes e e-mails de 1.646 pessoas.
Fonte ↗O Registro Central de População (CPR) da Dinamarca confirmou uma violação de dados que expôs nomes, endereços, datas de nascimento, status conjugal e o número CPR de cerca de 8,8 milhões de pessoas — aproximadamente 80% da base de 11 milhões de registros. A invasão não comprometeu o sistema central diretamente, mas abusou do acesso legítimo concedido a uma empresa privada dinamarquesa, combinado com força bruta para enumerar números CPR válidos.
Fonte ↗A fornecedora de software de RH e folha de pagamento Frontline Education confirmou que atacantes exploraram uma vulnerabilidade em um produto de terceiros para acessar seus sistemas e roubar dados de funcionários de distritos escolares, incluindo números de Seguro Social, e-mails e endereços físicos. A falha foi descoberta em 14 de agosto de 2026, mas as notificações aos distritos só começaram em outubro, e a extensão total do incidente ainda não foi divulgada publicamente. A empresa está oferecendo monitoramento de crédito e proteção contra roubo de identidade às vítimas adultas.
Fonte ↗Ardit Kutleshi, um dos operadores do marketplace de cibercrime Rydox, confessou culpa por lavagem de dinheiro e roubo de identidade agravado nos EUA. Entre 2016 e 2024, a plataforma vendeu mais de 7.600 lotes de credenciais roubadas, dados de cartão de crédito e informações pessoais, movimentando cerca de 321.000 “produtos” para mais de 18 mil usuários registrados. Kutleshi pode pegar até 20 anos de prisão, com sentença marcada para fevereiro de 2027.
Fonte ↗A Group-IB documentou o "Outsider Phishing Kit", uma plataforma de phishing-as-a-service operada por um grupo baseado na China e vendida por assinatura via Telegram, responsável por mais de 100 mil páginas de phishing em 54 ou mais países entre dezembro de 2025 e maio de 2026. Mesmo após o Google processar o grupo com apoio do FBI na operação "Ghost Hook" em junho, a operação seguiu ativa, com centenas de novas páginas surgindo já no mês seguinte ao takedown. O kit reduz drasticamente a barreira técnica para lançar campanhas de fraude em massa, oferecendo templates prontos e painel centralizado de coleta de dados.
Fonte ↗Microsoft, Coinbase e a Polícia Metropolitana de Londres desmantelaram o EvilTokens, uma plataforma de phishing por assinatura operada pelo grupo Storm-2992 que vendia acesso via Telegram por US$1.500 de entrada mais US$500/mês. Em poucos meses o kit comprometeu mais de 12 mil caixas de e-mail em mais de 10 mil organizações usando phishing por código de dispositivo, que contorna o MFA. A operação usava IA para analisar as caixas invadidas e gerar automaticamente novas mensagens de phishing personalizadas contra os contatos da vítima.
Fonte ↗Criminosos criaram uma organização falsa no GitHub se passando pelo LastPass, otimizada para aparecer bem posicionada em buscas, e usaram um driver de kernel legítimo — assinado pela Microsoft mas apenas renomeado — para desativar 145 ferramentas de antivírus e EDR antes de instalar o infostealer Rapuncel. O malware rouba senhas de mais de 25 navegadores, carteiras de mais de 30 aplicativos de criptomoeda, tokens do Discord, sessões do Steam e credenciais do Windows, chegando a contornar a criptografia "app-bound" do Chrome/Edge lançada pelo Google em 2024. Pesquisadores identificaram depois um kit maior, o mesmo usado para se passar por mais de 40 empresas diferentes.
Fonte ↗A Microsoft descreveu uma técnica em que atacantes ligam ou enviam SMS para o telefone pessoal da vítima se passando pelo helpdesk de TI, convencendo-a a "cadastrar uma passkey" — mas o objetivo real é interceptar device codes e tokens de sessão via ataque adversary-in-the-middle, contornando totalmente a MFA. O kit "BigBear 2.0", rastreado pela CloudSEK, já comprometeu 5.137 registros de credenciais, incluindo 474 autenticações completas com bypass de MFA, em mais de 40 países. Como o golpe costuma ocorrer em dispositivos pessoais fora do Defender for Endpoint, a atividade maliciosa passa despercebida pela telemetria corporativa.
Fonte ↗A ESET mapeou os principais golpes que exploram o desejo de jogadores, muitos deles crianças, por Robux gratuito: geradores falsos que roubam a conta em vez de gerar moeda, sorteios fraudulentos divulgados em YouTube, TikTok e Discord, páginas de phishing que imitam o login do Roblox e cartões-presente inexistentes. Todos seguem o mesmo padrão de engenharia social — prometer algo de valor em troca de credenciais ou dados pessoais.
Fonte ↗Um alerta conjunto de agências de polícia e inteligência do Japão, EUA, Austrália e Alemanha expôs a campanha Contagious Interview (grupo WaterPlum), que usa falsas entrevistas de emprego para instalar malware em desenvolvedores. A operação já infectou mais de 30 mil dispositivos em mais de 100 países, comprometeu cerca de 7 mil carteiras de criptomoedas e resultou em US$ 10,71 milhões desviados para a Coreia do Norte.
Fonte ↗A BigCommerce notificou vários lojistas que usam os aplicativos de terceiros Ribon e Ribon 1.5 sobre um comprometimento de credenciais entre 13 e 17 de setembro. Os atacantes usaram as credenciais roubadas para injetar scripts maliciosos nas vitrines das lojas e acessar registros de clientes, expondo nomes, e-mails, telefones e endereços de entrega. Dados de cartão e senhas não vazaram porque a plataforma os armazena separadamente.
Fonte ↗Uma campanha ativa usa repositórios GitHub otimizados para SEO, imitando a LastPass Authenticator e outras 39 empresas, para distribuir um infostealer inédito batizado de Rapuncel. O malware rouba credenciais de 25 navegadores, dados de 30 carteiras de criptomoedas e conteúdo do Windows Credential Manager, além de instalar um driver kernel que mata mais de 140 processos de antivírus e EDR. A técnica de disfarce é sofisticada o bastante para contornar buscas e varreduras automáticas de segurança.
Fonte ↗Pesquisadores da Zimperium detalharam o RatHat, um trojan Android atribuído a operadores baseados na China que combina abuso de Acessibilidade, ativação oculta de depuração via ADB e controle de tela orientado por um assistente de IA generativa. O malware exibe overlays falsos sobre apps bancários e de pagamento, como WeChat e Alipay, captura PINs e intercepta SMS de 2FA, resultando em tomada total de conta. A distribuição ocorre via sites de phishing, malvertising e campanhas de smishing.
Fonte ↗Um novo estudo mostra que modelos de visão computacional gratuitos e executados localmente conseguem resolver desafios do Google reCAPTCHA com taxa de sucesso de 92,6% por sessão, sem custo e sem treinamento específico. Isso derruba a barreira de habilidade técnica necessária para automatizar credential stuffing, criação em massa de contas falsas e outros abusos que o CAPTCHA deveria impedir.
Fonte ↗Um vazamento de dados de cerca de 680 clientes da Revolut foi rastreado a uma conta de e-mail certificado (PEC) do governo italiano comprometida, usada por criminosos para se passar por policiais da Polícia Postal e solicitar dados sensíveis diretamente à fintech. A Revolut nega invasão de seus próprios sistemas, afirmando ter atendido solicitações que pareciam legítimas por partirem de um domínio governamental oficial.
Fonte ↗O kit de phishing como serviço BigBear 2.0 foi usado em campanhas contra centenas de organizações em mais de 40 países, capturando milhares de credenciais e conseguindo contornar a autenticação multifator em cerca de 10% dos casos por meio de roubo de cookies de sessão. A técnica de adversário no meio (AiTM) permite sequestrar contas do Microsoft 365 mesmo quando o MFA está ativado.
Fonte ↗Pesquisadores da Microsoft identificaram uma campanha de engenharia social em que atacantes ligam ou mandam SMS para o celular pessoal de funcionários se passando por suporte de TI, alegando que é preciso atualizar passkey, MFA ou SSO. A vítima é levada a um site falso que imita o login da Microsoft, e o verdadeiro objetivo é abusar do fluxo de autenticação por device code para roubar tokens de sessão válidos. Como o contato começa fora dos canais corporativos monitorados, o ataque deixa poucos rastros até que o acesso já esteja em uso.
Fonte ↗Uma campanha de phishing em larga escala esta encadeando ate seis propriedades legitimas do Google -- incluindo redirecionadores e servicos de infraestrutura -- para levar vitimas a paginas de coleta de credenciais ou a ferramentas de acesso remoto. O diferencial em relacao a golpes tradicionais e que, em vez de tentar esconder o link malicioso, a operacao entrega aos filtros de seguranca exatamente os dominios confiaveis que eles esperam ver em cada salto do redirecionamento, dificultando a deteccao automatizada. A pagina final se personaliza em tempo real, puxando logo da empresa da vitima via Clearbit e capturas de tela do site real, aumentando a verossimilhanca do golpe.
Fonte ↗A fintech britânica Revolut confirmou ter compartilhado dados de um grupo "muito limitado" de clientes com um criminoso que se apresentou como agência governamental legítima, usando um domínio de e-mail autêntico para dar credibilidade ao pedido. Entre os dados vazados estão cópias de passaporte, selfies de verificação, extratos bancários, números IBAN e histórico completo de transações, incluindo movimentações em Bitcoin. Um investigador especializado em fraude com criptoativos aponta que o ataque parece ter sido direcionado a clientes de alto patrimônio, o que amplia o risco de fraudes personalizadas e extorsão contra essas vítimas.
Fonte ↗A Group-IB desmontou o JWR, kit de phishing usado pelo cluster "Outsider" do Smishing Triad, e encontrou uma central de controle que permite a um operador humano acompanhar a digitação da vítima e redirecioná-la em tempo real entre 32 páginas fraudulentas diferentes. O kit captura, em estágios sucessivos, identidade, dados de cartão, senha bancária, código OTP e até uma segunda conta bancária ou carteira digital, tudo enviado por WebSocket sob uma criptografia AES que expõe a própria chave junto com os dados. A infraestrutura já rotacionou mais de 194 mil domínios em 192 países desde 2024, evidenciando phishing como serviço em escala industrial.
Fonte ↗Um estudo acadêmico mapeou por um ano o ecossistema de Single Sign-On baseado em operadoras de celular (MSSO), analisando mais de 116 mil URLs em 729 domínios, e encontrou falhas de confiança em 73,6% delas. Os pesquisadores demonstraram o ataque "One-Click-to-Leak": basta a vítima abrir uma página maliciosa para que seu número de telefone seja vazado sem qualquer consentimento explícito. Ao rastrear uma plataforma que monetizava esses vazamentos, os autores encontraram um serviço que coletou 14,1 mil números de telefone em apenas três dias antes de ser apreendido por autoridades, evidência de um mercado underground já estruturado em torno desse tipo de dado.
Fonte ↗A Revolut confirmou ter entregado documentos de KYC, selfies de verificação e históricos de transações em Bitcoin de clientes após receber uma solicitação fraudulenta enviada de uma conta de e-mail comprometida dentro do domínio real de uma agência governamental. A fintech não foi hackeada diretamente: o processo de verificação baseado em autenticação de domínio foi enganado por credenciais legítimas de um e-mail institucional invadido. O caso expõe como a confiança em domínios oficiais, sem confirmação fora de banda, pode ser explorada para extrair dados sensíveis em massa.
Fonte ↗O FBI emitiu um alerta sobre uma onda de ataques de "OAuth consent phishing" mirando pessoas proeminentes, familiares e conhecidos próximos em aplicativos de mensagens. A vítima é induzida a aprovar uma tela legítima de permissão OAuth, achando que está liberando acesso a um contato ou serviço confiável, mas na prática concede a um app malicioso a capacidade de ler e-mails, enviar mensagens e acessar dados em seu nome. O golpe é particularmente perigoso porque não depende de roubar senha nenhuma e sobrevive à troca de senha da vítima.
Fonte ↗O FLHSMV, órgão de trânsito da Flórida, confirmou que seu banco DAVID (com dados de motoristas e veículos) foi acessado indevidamente usando credenciais de um funcionário do Departamento de Polícia de Plant City, mal armazenadas em um dispositivo pessoal. O grupo ShinyHunters reivindicou o roubo de mais de 200 mil registros e divulgou capturas de tela como prova, incluindo dados ligados a Jeffrey Epstein. Não há confirmação de fraude já cometida com os dados, mas o tipo de informação exposta é justamente o insumo clássico para roubo de identidade.
Fonte ↗A Microsoft atribuiu a grupos como Storm-3121 (ligado ao ShinyHunters) e Storm-3032 (marca Helix) uma campanha de engenharia social que se passa por suporte técnico para convencer funcionários a "atualizar" passkeys, MFA ou configurações de SSO. As vítimas caem em páginas de phishing adversary-in-the-middle que capturam credenciais e sessões, dando acesso a SharePoint, Outlook, OneDrive e apps conectados como Salesforce e Slack. Os dados são exfiltrados lentamente, ao longo de horas ou dias, e depois usados em esquemas de extorsão pelos mesmos grupos que já operam no ecossistema ShinyHunters/Scattered Spider.
Fonte ↗Pesquisadores da INKY identificaram, entre junho e agosto de 2026, uma campanha de phishing que usa arquivos SVG contendo JavaScript malicioso para redirecionar vítimas a páginas de roubo de credenciais que imitam Microsoft 365, Google Workspace e Adobe. Os e-mails, disfarçados de notificação de mensagem de voz perdida, são enviados em horário comercial para parecerem legítimos, e muitas das páginas finais funcionam como proxies adversary-in-the-middle capazes de capturar sessão autenticada e derrotar MFA. O uso de SVG é atraente para o atacante porque muitos filtros de e-mail tratam esse formato como imagem inofensiva, não como conteúdo executável.
Fonte ↗Um ataque à plataforma de email marketing Brevo permitiu o envio de phishing pela própria conta oficial de newsletter da Trezor, atingindo 347 mil endereços cadastrados. O email simulava um alerta crítico de segurança e levava a vítima a um app falso que pedia a frase de recuperação da carteira — 2.500 pessoas chegaram a clicar no link antes da Trezor derrubar o domínio.
Fonte ↗Criminosos comprometeram o provedor de e-mail terceirizado da Trezor e dispararam mensagens de phishing a partir do endereço legítimo help@trezor.io, alegando uma falha inexistente no microcontrolador STM32 usado nas carteiras frias da empresa. A isca criava urgência de segurança para levar o usuário a clicar em um link malicioso, com o objetivo final de capturar a seed phrase da carteira. A Trezor derrubou o domínio falso e orientou os clientes a ignorar o e-mail e nunca inserir a frase de recuperação em nenhum site.
Fonte ↗Um estudo acadêmico descreve um método de captura, via Core NFC no iOS, do número da conta primária (PAN) e da validade de cartões de pagamento contactless dos sistemas PRO100, HUMO e UZCARD — usados na Rússia e no Uzbequistão, mercados sem suporte oficial ao Apple Pay. Os autores deixam claro que a técnica apenas lê e extrai dados de registro do cartão, sem emular o cartão, autorizar pagamentos ou provar posse, mas o PAN e a validade capturados são justamente os dados centrais explorados em fraude de cartão not-present.
Fonte ↗Um novo ataque de inferência visual usa a câmera dos óculos inteligentes Meta Ray-Ban para observar a digitação de senhas em teclados de smartphone e reconstruir a senha combinando análise de movimento de dedo com estatística de 2,19 bilhões de senhas vazadas. Em testes com usuários, senhas de até 16 caracteres escolhidas por humanos foram quebradas em horas a dias, e senhas de gerenciador de senhas de até 13 caracteres em menos de uma hora com GPU comum.
Fonte ↗O grupo de extorsão ShinyHunters alega ter comprometido o sistema DAVID, plataforma usada pelo Departamento de Trânsito (DMV) da Flórida, e roubado mais de 200 mil registros de motoristas. Dados de identidade governamental como esses são especialmente valiosos para fraude, pois costumam conter nome completo, endereço, data de nascimento e número de habilitação — insumos-chave para roubo de identidade e abertura de contas fraudulentas.
Fonte ↗Um cluster de ameaças batizado de PREY-0058 está comprometendo executivos de alto escalão em ambientes Microsoft 365 usando apenas engenharia social por telefone, sem qualquer malware. Os atacantes se passam por suporte de TI interno, capturam credenciais e aprovações de MFA em tempo real e sequestram a sessão para drenar dados de SharePoint, OneDrive, Exchange e Box antes de exigir resgate.
Fonte ↗Um banco de dados com 32,8 milhões de registros de usuários ligados a publicações da Condé Nast, incluindo e-mail, nome, endereço e data de nascimento, está à venda por US$ 15 mil em um fórum russo de cibercrime. A combinação de dados reais de identidade e endereço abre caminho para golpes de personificação da própria marca contra assinantes.
Fonte ↗Pesquisadores da CloudSEK acessaram o painel de controle do BigBear 2.0, um phishing-as-a-service construído sobre o Evilginx2 que rouba credenciais, códigos de MFA e cookies de sessão do Microsoft 365 em tempo real. O serviço já exfiltrou mais de 5 mil credenciais e derrubou a autenticação multifator completa de 258 organizações em mais de 40 países.
Fonte ↗A fabricante de carteiras de hardware Trezor ampliou para 81 mil o número de clientes afetados por um vazamento originado na sua parceira de logística ShipMonk, explorada via SQL injection zero-day no Metabase. Os dados expostos são nome, endereço, e-mail, telefone e número do pedido — informação suficiente para golpistas montarem contatos falsos convincentes atrás da seed phrase da carteira.
Fonte ↗A IDScan, empresa que fornece sistemas de verificação de identidade usados por locadoras de veículos, varejistas, bancos e hotéis, sofreu uma invasão cujos dados foram colocados à venda em um serviço clandestino chamado Nexus. O pacote inclui mais de 153 milhões de scans de carteiras de motorista dos EUA e Canadá, 10 milhões de documentos de identidade, 3 milhões de documentos de viagem e 579 mil cartões médicos. A empresa já responde a múltiplas ações judiciais e o FBI abriu investigação sobre o caso.
Fonte ↗Um serviço de roubo de identidade chamado Nexus apareceu na dark web em 1º de setembro oferecendo busca em mais de 153 milhões de carteiras de habilitação dos EUA e Canadá, além de carteiras de identidade, documentos de viagem e carteiras de saúde. Investigadores rastrearam a origem até a IDScan.net, empresa de verificação de identidade usada por Hertz, Target, FedEx e outras grandes marcas, e o FBI abriu investigação após constatar que documentos de agentes federais também vazaram.
Fonte ↗Infostealers como RedLine, Lumma e Vidar coletam de máquinas infectadas muito mais do que senhas salvas: cookies de sessão, dados de preenchimento automático, carteiras de cripto e chaves SSH, tudo revendido em pacotes chamados de logs. O artigo (baseado em orientação da empresa Flare) explica que um cookie de sessão roubado pode permitir que o atacante reproduza o login já autenticado, pulando completamente a etapa de MFA, e propõe um fluxo de priorização e resposta para equipes de segurança.
Fonte ↗Um vendedor em fórum russo de compra e venda de dados listou o que chama de base da Ticketmaster com mais de 412 mil registros de compradores latino-americanos, 61% deles brasileiros, incluindo nome, CPF, e-mail, telefone e detalhes de pagamento. O anúncio é explícito quanto ao uso: o próprio vendedor afirma que os CPFs servem para fraude bancária, aplicativos de empréstimo e registro fraudulento de chip (SIM swap).
Fonte ↗Pesquisadores da Zimperium identificaram uma campanha ampla que se passa por recrutadores de RH de marcas como Amazon, Apple, FIFA, Boeing e Deloitte, conduzindo entrevistas falsas altamente realistas com candidatos a emprego. O golpe usa a técnica Browser-in-the-Browser (BitB), que simula uma janela de navegador de login (ex.: OAuth) dentro da própria página, e é ainda mais perigoso em dispositivos móveis, onde não há barra de endereço visível para o usuário conferir a autenticidade. O kit filtra e-mails pessoais, mirando exclusivamente contas corporativas, e ao capturar o login obtém tokens OAuth e comunicações internas para movimentação lateral na empresa da vítima.
Fonte ↗Um problema no processo de verificação de e-mail da Lenovo permitia que qualquer pessoa registrasse um Lenovo ID usando o endereço de e-mail de outra pessoa sem confirmação adicional. Como o Dropbox aceitava login via Lenovo ID confiando na alegação da Lenovo sobre a posse do e-mail, atacantes conseguiram sequestrar cerca de 5 mil contas Dropbox entre 4 e 21 de agosto de 2026, sem precisar da senha original, chegando a visualizar e baixar arquivos das vítimas.
Fonte ↗Um serviço batizado de 'Nexus' passou a vender na dark web digitalizações de mais de 153 milhões de carteiras de motorista de cidadãos dos EUA e Canadá, além de milhões de outros documentos de identidade e cartões médicos. O jornalista Brian Krebs rastreou a origem dos dados até a IDScan.net, empresa de verificação de identidade usada por locadoras de veículos, varejistas e cassinos, levando o FBI a abrir investigação formal. O vazamento expõe milhões de pessoas — incluindo autoridades públicas — a fraude de abertura de crédito e outros golpes de identidade.
Fonte ↗A empresa de segurança Huntress documentou cinco casos em 2026 de operadores ligados à Coreia do Norte, rastreados como 'FAMOUS CHOLLIMA', que conseguiram vagas legítimas de TI em empresas ocidentais usando documentos falsificados e identidades roubadas. Os operadores usam dispositivos de KVM remoto, VPNs e proxies para simular presença local, executam o trabalho de fato e desviam parte do salário para financiar o regime norte-coreano. O caso ilustra como fraude de identidade e engenharia social contra processos de contratação (RH) viraram vetor de financiamento ilícito e evasão de sanções.
Fonte ↗O grupo Silver Fox está distribuindo o RAT ValleyRAT escondido dentro de instaladores que imitam apps populares como DingTalk, Chrome e Tencent Meeting, usando DLL sideloading para evitar detecção. O malware monitora a janela ativa e captura teclado e clipboard, dados que alimentam diretamente roubo de credenciais e fraude financeira. A campanha já soma mais de 100 mil detecções em 2026, concentradas na China e na Índia.
Fonte ↗A Anthropic confirmou que infostealers como Vidar, LummaC2, StealC, RedLine, Acreed e Atomic Stealer roubaram cookies de sessão autenticada de usuários do Claude, permitindo acesso às contas sem precisar de senha nem 2FA. Os atacantes usaram esse acesso para consumir o uso pago das vítimas, e a empresa revogou sessões, removeu cartões salvos e reembolsou cobranças indevidas. O caso mostra que o roubo de sessão é hoje um vetor tão relevante para fraude quanto o roubo de senha.
Fonte ↗A Cisco Talos identificou o JWR, uma plataforma de phishing-as-a-service que transmite ao vivo, via WebSocket criptografado, a tela da vítima para o atacante enquanto ela preenche dados de cartão, CVV, senha, 2FA e documentos como passaporte. Isso permite ao golpista interagir em tempo real e guiar a vítima para maximizar o roubo, e as campanhas já miram autoridades de trânsito e serviços postais na Ásia e nos Emirados Árabes com pretexto de multas e taxas de entrega.
Fonte ↗O Google Threat Intelligence Group identificou uma campanha de vishing direcionada a funcionários de hedge funds e empresas financeiras, atribuída ao grupo de extorsão UNC6671, antigo BlackFile. Os atacantes ligam para os números pessoais dos funcionários se passando por TI interna, alegam migrações urgentes ou atualizações de MFA/FIDO2, e conduzem as vítimas a portais falsos que capturam credenciais e códigos de autenticação multifator por meio de infraestrutura adversary-in-the-middle. Uma vez dentro, automatizam a extração de dados de ambientes Microsoft 365 e Okta.
Fonte ↗A plataforma criminosa AnonyMousKIT, ativa desde início de 2024, usa agentes de IA com personas falsas — por voz, e-mail e SMS — para se passar pela Apple e extrair passcode, credenciais de iCloud e códigos de dois fatores de vítimas de roubo de iPhone. Com esses dados, os operadores desativam o Find My e o Activation Lock para revender os aparelhos, numa estrutura com mais de 500 domínios e 168 "revendedores", com 90% das chamadas direcionadas ao Brasil.
Fonte ↗O trojan bancário ToxicPanda evoluiu para uma versão 2.0 que amplia drasticamente seu alcance, saindo de um foco europeu restrito para atacar 349 aplicativos financeiros em 16 países. A nova versão abusa da depuração sem fio (Wireless Debugging) do Android para obter acesso em nível de shell ao aparelho sem o conhecimento da vítima, além de usar telas sobrepostas falsas para roubar credenciais bancárias, PINs e senhas de bloqueio. A descoberta foi publicada pela equipe zLabs da Zimperium.
Fonte ↗Pesquisadores mostraram que a simples presença de dados sensíveis — senhas, histórico médico, dados financeiros — no contexto de um modelo de linguagem pode vazar de forma sutil em respostas aparentemente inofensivas, mesmo quando o modelo se recusa a revelar a informação diretamente. Usando um classificador treinado e um adversário treinado por reforço, os autores conseguiram extrair números completos de Social Security Number (equivalente ao CPF nos EUA) de um agente em estilo produção, e descobriram que modelos mais capazes vazam mais, não menos.
Fonte ↗Pesquisadores da ThreatFabric identificaram o Manic, malware Android que combina trojan bancário com spyware completo, ativo desde fevereiro de 2026 e monitorando 169 aplicativos, com foco em bancos ucranianos, serviços governamentais e plataformas de criptomoedas europeias. O malware abusa dos serviços de Acessibilidade para capturar PINs digitados em apps bancários sem interromper a transação, e usa uma rede mesh via Bluetooth e Wi-Fi Direct para exfiltrar dados mesmo quando o aparelho infectado está sem acesso à internet.
Fonte ↗Pesquisadores da Ransomnews mapearam mais de 50 mil chaves de API do Stripe expostas em repositórios públicos do GitHub, logs de GitHub Actions e servidores mal configurados, das quais cerca de 12% ainda estavam ativas e funcionais. Com uma chave secreta válida, um atacante consegue acessar dados de clientes, criar cobranças fraudulentas, emitir reembolsos para contas próprias e sequestrar webhooks — os pesquisadores comprovaram uma cobrança de teste de US$ 1 apenas 17 horas depois de encontrar uma chave ativa.
Fonte ↗Uma falha de autorização no sistema de rastreamento de pedidos da fabricante de hardware wallets SafePal expôs nome, e-mail, endereço, telefone e histórico de compras de 39.798 clientes. A empresa confirma que seed phrases e chaves privadas não vazaram, mas os dados já estão sendo usados em ligações e e-mails de phishing que se passam por suporte técnico pedindo 'atualização de firmware' do dispositivo X1.
Fonte ↗Distribuído via campanhas ClickFix com páginas falsas no GitHub, o AmnesiaStealer é um infostealer para macOS com um módulo de streaming que duplica o perfil do navegador da vítima, abre uma instância headless e transmite a tela ao atacante a cerca de 3fps com controle total de mouse, teclado e navegação. Isso permite operar contas já logadas — bancos, exchanges de cripto, e-mail — preservando as impressões digitais do dispositivo e da rede, o que dificulta a detecção por sistemas antifraude baseados em device fingerprinting.
Fonte ↗Pesquisadores da ReliaQuest identificaram uma campanha em que roteadores Wi-Fi de hotéis nos EUA, Índia e Arábia Saudita são comprometidos e usados para envenenamento de DNS, redirecionando hóspedes diretamente para telas falsas de login do Microsoft 365. O golpe abusa do fluxo de autenticação por código de dispositivo (device code) do OAuth, dando ao atacante uma sessão já validada por MFA sem nunca capturar a senha da vítima.
Fonte ↗A Kaspersky documentou o CrashStealer, um infostealer para macOS que se disfarça do utilitário nativo CrashReporter e é distribuído por meio de um site falso de uma ferramenta de videoconferência fictícia chamada 'Werkbit'. O malware usa um certificado de desenvolvedor Apple válido para contornar o Gatekeeper e rouba credenciais do Keychain, de 14 gerenciadores de senha e de 80 extensões de carteiras de criptomoeda.
Fonte ↗Um alerta consolidado do Departamento de Estado e do FBI descreve como esquemas de infiltração — ligados a operadores norte-coreanos de TI, mas replicáveis por qualquer fraudador — exploram lacunas entre etapas isoladas de contratação (checagem de identidade, entrega de equipamento, entrevista) para colocar uma pessoa fictícia numa vaga remota real. Cada verificação isolada passa no teste, mas nenhuma confirma que quem está logado no primeiro dia é a mesma pessoa entrevistada, o que exige combinar verificação documental com biometria de vivacidade (liveness) para fechar a lacuna.
Fonte ↗Pesquisadores da KnowBe4 detalharam um kit de phishing que esconde o link malicioso final atrás de um redirecionador PHP hospedado em sites legítimos comprometidos, exibindo uma tela falsa de carregamento do OneDrive e usando um cookie de fingerprint (bp_redir_sess) para bloquear scanners automatizados. As vítimas são finalmente levadas a plataformas adversary-in-the-middle como Sneaky2FA e Tycoon 2FA, que roubam sessões já autenticadas com MFA.
Fonte ↗Um vendedor em fórum de vazamentos anunciou 9,2 milhões de registros do cadastro populacional de Israel como uma violação recente, mas análise técnica mostrou que todos os campos de data param em 2005 — os dados vêm de um roubo antigo cometido por um funcionário do Ministério de Assuntos Sociais. Apesar de 'velhos', os identificadores nacionais, endereços e vínculos familiares seguem plenamente utilizáveis para fraude.
Fonte ↗Um funcionário da IEH Corporation, fabricante de conectores para uso militar e aeroespacial, inseriu credenciais do Microsoft 365 em uma página de login falsa após clicar em um link enviado por um atacante que se passou por um contato comercial. O invasor obteve acesso à caixa de e-mail e criou regras maliciosas para manter persistência, expondo e-mails, dados de clientes e documentos de engenharia potencialmente sujeitos às regulações ITAR/EAR.
Fonte ↗O grupo rastreado como UNC6671 (também conhecido como Redact, Pink, Falcon e Helix) ligou para funcionários de mais de 200 empresas fingindo ser o helpdesk de TI, induzindo-os a "atualizar" MFA em sites falsos de passkey. As credenciais e códigos de segundo fator capturados em tempo real permitiram sequestro de contas em Microsoft 365 e Okta, seguido de roubo de dados e extorsão. Entre as vítimas confirmadas estão gestoras como Blackstone, KKR, Apollo, Bain Capital e Moody's, com pagamentos somando mais de US$ 10 milhões em Bitcoin.
Fonte ↗Uma campanha ativa de ClickFix está enganando usuários de macOS para colar e executar comandos maliciosos no Terminal, instalando um infostealer escrito em Go. O malware rouba senhas salvas no navegador, dados do Keychain e carteiras de criptomoedas (Bitcoin, Ethereum, Monero, entre outras), driblando o Gatekeeper ao remover o atributo de quarentena dos arquivos. Uma característica incomum é a possibilidade de configurar o saque de apenas uma fração dos fundos da vítima, tornando o roubo mais difícil de perceber a tempo.
Fonte ↗Um relatório da Group-IB argumenta que, na maioria das empresas, existe um intervalo sem dono entre o momento em que a vítima digita a senha numa página falsa e o momento em que a transação fraudulenta é processada — porque times de cibersegurança e de antifraude monitoram estágios diferentes do ataque. O texto usa como estudo de caso uma instituição financeira indonésia enganada por rostos gerados por IA no processo de KYC digital para aprovação de empréstimos, com US$ 6,58 milhões desviados antes da contenção. A lição central é estrutural: o atraso não veio de falta de ferramentas, mas da falta de um time responsável por essa janela específica do ataque.
Fonte ↗A plataforma de phishing-as-a-service Greatness, vendida por US$ 289/mês em canais do Telegram, ampliou seu arsenal contra contas Microsoft 365 com ataques adversary-in-the-middle que capturam tokens de sessão já autenticados por MFA e phishing por device-code. A nova onda se disfarça de notificações da RingCentral, enviadas de servidores IONOS que falham em SPF/DKIM/DMARC mas atravessam filtros porque empresas costumam liberar (whitelist) o domínio legítimo da RingCentral. Com o token replicado, o atacante acessa Outlook, Teams, SharePoint e OneDrive por semanas sem precisar da senha nem burlar o MFA diretamente.
Fonte ↗Golpistas distribuem uma versão falsa do executor de scripts Xeno para Roblox em fóruns de jogos e Discord, prometendo burlar o anti-cheat. O instalador entrega, em múltiplos estágios, um infostealer que rouba cookies, tokens de conta (Discord, Roblox, Microsoft) e dados de carteiras cripto, além de um RAT com keylogging, streaming de tela e execução remota de comandos.
Fonte ↗Uma investigação da Flare em milhares de posts de fóruns underground mostra como o RAT Android BTMOB, antes vendido por uma única operação, virou um mercado disputado por revendedores, vendedores de código-fonte e cópias piratas mais baratas. O malware combina controle remoto do smartphone com kits de phishing e roubo de credenciais, reduzindo a barreira técnica para criminosos aplicarem fraude bancária móvel em escala.
Fonte ↗Pesquisadores da Lexfo identificaram três kits de phishing sofisticados, construídos sobre o framework open-source Evilginx, que atuam como proxy 'adversary-in-the-middle' (AiTM) contra logins do Microsoft 365. Ao interceptar a sessão de autenticação em tempo real, os kits capturam cookies de sessão e tokens OAuth, tornando o MFA tradicional ineficaz depois que a vítima autentica normalmente na página falsa.
Fonte ↗Pesquisadores da Hunt.io e o jornalista independente NetAskari rastrearam o vazamento do framework de RAT Android "Flying Eagle" (飞鹰), originalmente distribuído por um app falso que se passa por um serviço de uma polícia provincial chinesa. A partir de duas fingerprints técnicas de infraestrutura, mapearam 170 servidores ativos ligados a um mercado no Telegram que vende acesso pronto para roubar credenciais bancárias e de carteiras cripto por meio de telas de sobreposição (overlay). Canais de suporte no Telegram chegam a orientar operadores passo a passo sobre como esvaziar contas de Alipay e WeChat das vítimas, tratadas internamente como "fish".
Fonte ↗Analistas do KnowBe4 desmontaram um kit de phishing que lê o User-Agent do navegador no instante do clique e decide, em milissegundos, qual ataque aplicar: instalação de ferramenta de acesso remoto disfarçada para usuários Windows, captura isolada de credenciais Apple/Microsoft, ou um fluxo multietapas com operador humano em tempo real para Android/Linux. O detalhe mais grave é o repasse manual de códigos de MFA capturados antes de expirarem, técnica que neutraliza a autenticação por SMS ou aplicativo na maioria dos casos.
Fonte ↗O grupo de extorsão ShinyHunters afirma ter acessado, entre março e abril de 2026, uma plataforma de suporte terceirizada usada pela Ernst & Young, roubando documentos com nomes, endereços, números de seguro social, dados bancários e de cartão de clientes. O grupo ameaça publicar o material no seu site de vazamentos caso a EY não inicie negociação até 31 de julho. A empresa já notificou os afetados e ofereceu monitoramento de identidade por 24 meses.
Fonte ↗O MedusaHVNC é um trojan de acesso remoto oferecido em modelo malware-as-a-service que abre uma área de trabalho oculta do Windows para operar o navegador da vítima sem que ela perceba, roubando cookies, senhas e sessões já autenticadas. Como a sessão sequestrada roda na própria máquina da vítima, com o IP e o fingerprint reais dela, o golpe é especialmente eficaz para burlar mecanismos antifraude baseados em risco de dispositivo.
Fonte ↗A ReliaQuest identificou uma campanha em que atacantes comprometem gateways de Wi-Fi de hotéis e centros de conferência — explorando interfaces de gerenciamento expostas com credenciais fracas ou reutilizadas — para manipular respostas DNS e redirecionar hóspedes a páginas falsas de login do Microsoft 365, como m365-owa.com e ms365-live.com. Não é necessário e-mail de phishing nem anexo malicioso: basta o viajante se conectar à rede do hotel. O alvo são profissionais em viagem dos setores financeiro, jurídico, saúde, energia e varejo, nos EUA, Índia e Arábia Saudita.
Fonte ↗A campanha de malvertising SourTrade, ativa desde o fim de 2024 em 25 idiomas e 12 países, replica páginas falsas de Solana, Luno e TradingView para atrair traders e investidores em cripto. Em vez de entregar um executável pronto, o JavaScript da página monta o malware peça por peça dentro da memória do navegador, driblando antivírus e inspeção de rede. O payload final é um infostealer que rouba senhas, cookies e carteiras de criptomoedas, com foco direto em fraude financeira.
Fonte ↗Criminosos estão enviando e-mails de sextortion que se passam pelo grupo extorsionário ShinyHunters, alegando ter invadido câmera, microfone e arquivos das vítimas para exigir US$ 2.000 em Bitcoin. Os endereços de e-mail usados vêm de vazamentos reais de empresas como Amtrak, Hallmark, Substack e Betterment, o que dá falsa credibilidade à ameaça. O próprio ShinyHunters nega envolvimento, indicando que terceiros estão reciclando dados já vazados publicamente.
Fonte ↗A Chick-fil-A confirmou que mais de 13 mil contas do programa de fidelidade Chick-fil-A One foram comprometidas entre 17 e 19 de junho de 2026, por meio de credential stuffing — ferramentas automatizadas testando, em massa, credenciais obtidas de vazamentos de terceiros. Os atacantes acessaram nomes, e-mails, saldo de pontos, números de pagamento móvel e os últimos quatro dígitos de cartões associados às contas. A empresa deslogou as contas afetadas, removeu métodos de pagamento salvos, restaurou saldos de pontos e orientou os clientes a trocarem de senha.
Fonte ↗Pesquisadores da ReliaQuest identificaram dois novos kits de phishing-as-a-service — Jalisco e OmegaLord — voltados a burlar autenticação multifator. Jalisco abusa do fluxo de “device code” do OAuth, gerando códigos de autorização válidos em tempo real para contornar o limite de 15 minutos de expiração; OmegaLord soma a isso a coleta do número de telefone da vítima, permitindo sequestrar também o segundo fator. A técnica é perigosa porque nunca expõe a senha da vítima ao atacante — a autenticação acontece de forma “legítima” nos servidores reais do provedor.
Fonte ↗A Upbound Group, controladora da fintech de leasing Acima, confirmou que dados de clientes obtidos em uma invasão foram usados por criminosos para fechar contratos fraudulentos de arrendamento mercantil, gerando prejuízo de US$ 13 milhões só no segundo trimestre. O caso mostra como vazamentos de dados classificados como "não sensíveis" ainda servem de matéria-prima para fraude de identidade em produtos de crédito ao consumidor.
Fonte ↗A Chick-fil-A notificou clientes sobre um vazamento de dados causado por ataques de credential stuffing contra contas do programa de fidelidade Chick-fil-A One, ocorridos entre 17 e 19 de junho de 2026. Criminosos usaram listas de credenciais vazadas de outros serviços para assumir o controle de contas, expondo saldos, números de fidelidade, dados parciais de cartão e métodos de pagamento móvel. A empresa revogou sessões comprometidas, removeu formas de pagamento cadastradas e ofereceu créditos como compensação às vítimas confirmadas.
Fonte ↗Um novo método usa material oficial de agências de defesa do consumidor para avaliar, de forma semi-automatizada, se LLMs como Gemini e GPT conseguem identificar de forma consistente narrativas de roubo de identidade e impostor scams (golpes de falsa identidade). A técnica gera variações do mesmo caso relatado e observa se o modelo responde de forma instável — sinal de que ele não entende o padrão do golpe, apenas reconhece palavras-chave superficiais. Os autores mostram que é possível distinguir modelos com conhecimento consistente sobre esses dois temas dos que falham em identificar o golpe corretamente.
Fonte ↗Uma operação conjunta entre autoridades da Alemanha e dos Estados Unidos desmantelou a infraestrutura central do Kratos, serviço de phishing por assinatura usado por cerca de 1.800 clientes criminosos para atacar vítimas em ao menos 35 países. A plataforma automatizava a criação de páginas falsas de login da Microsoft para roubar credenciais e sequestrar contas, chegando a rodar cerca de 15 mil campanhas por mês. O desenvolvedor do serviço foi preso na Indonésia e mais de 200 servidores foram apreendidos.
Fonte ↗Uma análise da Flare sobre 2.889 postagens em fóruns criminosos mostra que proxies residenciais isolados já não bastam para burlar antifraude: fraudadores agora combinam IPs com histórico limpo a navegadores antidetecção, perfis de dispositivo e dados de cobrança coerentes para parecer um cliente legítimo. O material serve como alerta direto para times de risco sobre quais sinais de consistência (e inconsistência) observar.
Fonte ↗Pesquisadores da Cisco Talos identificaram o UAT-11795, ator russo-falante ativo desde meados de 2025, distribuindo instaladores trojanizados de Zoom, Webex, MobaXterm e outras ferramentas para instalar o Starland RAT e o implante em memória WLDR. O objetivo é roubar credenciais de navegador, mapear carteiras de criptomoeda e sequestrar sessões de Discord, Telegram e Steam para uso em fraudes subsequentes.
Fonte ↗O grupo financeiramente motivado UAT-11795 distribui instaladores adulterados de softwares populares (WebEx, Zoom, MobaXterm, DBeaver, FaceIT) para instalar o novo backdoor Starland RAT. A ameaça rouba credenciais, dados do Active Directory e visa mais de 40 carteiras de criptomoedas, atingindo principalmente usuários nos EUA, além de vítimas na Alemanha, Romênia e Venezuela.
Fonte ↗Pesquisadores encontraram um cluster Elasticsearch aberto com cerca de 24 bilhões de registros — usuários, e-mails e, em muitos casos, senhas em texto puro — reunidos de vazamentos antigos e coletas ativas de infostealers.
Fonte ↗Uma operação de phishing modular batizada de GitBait está mirando ao menos 12 instituições financeiras que operam no México, distribuída via WhatsApp, SMS e Telegram. A infraestrutura abusa do GitHub Pages para hospedar mais de 100 domínios com scripts ofuscados, exfiltrando as credenciais roubadas através da API pública SheetBest, que grava tudo em planilhas Google controladas pelos criminosos.
Fonte ↗A Zimperium zLabs descreveu o Rokarolla, trojan bancário Android que ataca 217 aplicativos financeiros, rouba PINs e códigos SMS, cria overlays de login falsos e desativa o Google Play Protect.
Fonte ↗A Group-IB detalhou o SilabRAT (também chamado SnappyClient), um RAT avançado desenvolvido pelo ator conhecido como o1oo1 e vendido como Malware-as-a-Service em fóruns russos de cibercrime por assinatura mensal de US$5.000. O módulo AutoWallet automatiza a quebra de senhas de carteiras cripto, enquanto técnicas de bypass da criptografia do Chrome e evasão avançada (HVNC, AMSI, UAC) dificultam a detecção.
Fonte ↗A Group-IB expôs a operação Error 524 Decoy, que já registrou 4.389 domínios de phishing imitando mais de 260 marcas em 72 países, com 60% da atividade concentrada na América Latina (México, Chile e Colômbia à frente). A técnica usa páginas de erro do Cloudflare falsificadas para escapar de análise, geofencing por país e dispositivo, e exfiltração de dados de cartão em tempo real via WebSocket criptografado.
Fonte ↗A Cyble (CRIL) documentou o OverlayPhantom, trojan Android que mira mais de 180 apps financeiros em dez países, usando overlays em WebView e transmissão de tela em tempo real via MediaProjection.
Fonte ↗Análise de tendências de 2026 detalha como identidades sintéticas e deepfakes contornam a verificação de identidade no onboarding digital, e por que checagens passivas já não bastam.
Fonte ↗Uma nova versão do trojan bancário Android TrickMo passou a mirar França, Itália e Áustria em 2026, espalhando-se por anúncios falsos no Facebook e no TikTok e interceptando códigos 2FA por SMS.
Fonte ↗A ESET mapeia como golpistas monitoram obituários e redes sociais para atacar contas de pessoas falecidas — de fraude de crédito e declarações fiscais falsas em nome do morto a deepfakes usados para pedir dinheiro a parentes em luto. O artigo recomenda organizar um "inventário digital" em vida e usar recursos de contato legado das grandes plataformas para reduzir a janela de exposição.
Fonte ↗O pesquisador da ESET Jake Moore demonstrou três formas de burlar sistemas de reconhecimento facial — óculos inteligentes para identificar estranhos em público, imagens geradas por IA para abrir uma conta bancária real via eKYC e troca de rosto em tempo real para escapar de uma lista de vigilância em uma estação de trem. O experimento expõe fragilidades concretas nos processos de verificação de identidade que bancos e fintechs vêm adotando para onboarding remoto.
Fonte ↗A Group-IB expôs a campanha GTFire, que hospeda páginas de phishing em subdomínios do Firebase (web.app) e usa links do Google Translate (translate.goog) como camada de redirecionamento para ganhar credibilidade e escapar de filtros de segurança. A operação já afetou mais de mil organizações em mais de cem países, coletando credenciais duas vezes por vítima através de um truque de "senha incorreta" antes de redirecionar ao site legítimo.
Fonte ↗A ESET detalha os caminhos pelos quais dados pessoais chegam à dark web — de vazamentos corporativos a infostealers como RedLine e Lumma — e como esses dados alimentam sequestro de contas, roubo de identidade e phishing direcionado. O artigo cita que 20% das vítimas de fraude nos EUA relataram perdas acima de US$ 100 mil em um único ano, reforçando o quanto a exposição de dados se converte em prejuízo financeiro real.
Fonte ↗A ESET explica como o credential stuffing usa listas de credenciais expostas em vazamentos anteriores para testar login em massa em outros serviços, explorando o hábito de reuso de senha — e não uma falha do serviço-alvo em si. O artigo cita os casos PayPal (35 mil contas em 2022) e Snowflake (165 organizações em 2024) como exemplos de como essa técnica automatizada, hoje potencializada por scripts com IA, virou vetor primário de account takeover e fraude em varejo, finanças, SaaS e saúde.
Fonte ↗Uma campanha ativa desde agosto de 2025 usa e-mails que imitam notificações do DocuSign para levar vítimas corporativas a páginas de captura de credenciais construídas com o framework LogoKit, que busca automaticamente o logo e o layout da própria empresa da vítima para dar mais credibilidade ao golpe. A infraestrutura fica hospedada em gateways IPFS e buckets S3, dificultando remoção rápida.
Fonte ↗O Group-IB documentou um esquema organizado de falsos empregos remotos que promete ganhos rápidos por tarefas simples, usando anúncios em redes sociais adaptados a dialetos e moedas locais para parecer legítimos. O golpe evolui em etapas — de coleta de dados pessoais a pedidos de depósito com promessa de retorno — até bloquear a vítima após ela investir valores maiores.
Fonte ↗A ESET explica o "brushing scam", golpe de e-commerce em que criminosos usam nome e endereço de terceiros para enviar produtos não solicitados e postar avaliações falsas de 5 estrelas em contas fraudulentas, inflando artificialmente a reputação de itens vendidos em marketplaces. Receber um desses pacotes é sinal de que seus dados pessoais circulam no submundo do cibercrime — e, em casos mais recentes, o pacote pode até trazer QR codes maliciosos.
Fonte ↗A Group-IB descreveu uma nova geração de malware Android para furto de SMS no Uzbequistão, batizada Wonderland, que substitui a espionagem passiva antiga por controle remoto bidirecional via WebSocket. O malware intercepta OTPs e alertas bancários, dispara comandos USSD e mensagens em nome da vítima, e se dissemina majoritariamente pelo Telegram usando sessões roubadas e APKs disfarçados de vídeos ou documentos. Segundo a empresa, apenas um grupo já monitorado teria drenado mais de US$ 2 milhões desde janeiro de 2025 usando essa técnica.
Fonte ↗A ESET detalha como criadores de conteúdo com grande audiência são alvo prioritário de spearphishing, credential stuffing e SIM swapping justamente pela confiança acumulada junto aos seguidores. Uma vez sequestrada, a conta é usada para anunciar golpes de investimento em criptomoedas e esquemas de enriquecimento rápido, causando prejuízo financeiro direto a quem confia no influenciador.
Fonte ↗A Group-IB descreve um kit de phishing multi-estágio contra clientes da Aruba S.p.A., provedora italiana de hospedagem e domínios com 5,4 milhões de clientes, projetado para roubar não só credenciais de login como também dados completos de cartão e o código de verificação 3D Secure. O kit usa CAPTCHA para filtrar bots de segurança, uma réplica fiel da tela de login pré-preenchida com o e-mail da vítima, uma cobrança fictícia de baixo valor para capturar o cartão, e por fim intercepta o OTP bancário — exfiltrando tudo em tempo real via Telegram, com canal duplicado para redundância. A operação ilustra como o phishing-as-a-service está cada vez mais industrializado e automatizado.
Fonte ↗Um golpe em crescimento combina videochamada do WhatsApp, personificação de atendente bancário e pedido de compartilhamento de tela para roubar senhas, OTPs e dados bancários da vítima ao vivo. Depois de obter esse acesso visual, o golpista realiza transferências e sequestra as contas comprometidas para aplicar o mesmo golpe em novas vítimas.
Fonte ↗Um levantamento da Group-IB baseado em mais de 200 milhões de sessões móveis mapeia seis estágios de evolução das táticas de mulas financeiras usadas contra bancos do Oriente Médio, Turquia e África entre 2023 e 2025. A progressão vai de simples mascaramento de IP até o envio físico de celulares pré-configurados através de fronteiras, sempre um passo à frente dos controles antifraude. O relatório detalha como bancos estão respondendo com detecção em camadas combinando geolocalização, biometria comportamental e análise de grafos.
Fonte ↗Além de vender dados realmente roubados, parte do mercado de vazamentos na dark web é sustentada por informações recicladas ou totalmente fabricadas, vendidas como se fossem breaches inéditos. A Group-IB descreve três padrões — reaproveitamento de vazamentos antigos, dados forjados do zero e misturas de conteúdo real com falso — usados por golpistas que constroem reputação em fóruns como BreachForums, XSS e Exploit, além do Telegram, para lucrar sem nunca ter comprometido nada.
Fonte ↗Um panorama da Group-IB sobre fraude digital na Austrália aponta perdas anuais superiores a A$2 bilhões, puxadas por roubo de identidade com sequestro de contas de superanuação, fraude em apostas e em crédito "compre agora, pague depois", golpes com deepfake e voz sintética, e fraude de pagamento instantâneo induzida por telefone. Chama atenção o uso de malware que manipula a câmera do dispositivo e de ferramentas de IA que imitam testes de vivacidade facial para burlar verificações de KYC, além de redes de contas laranja usadas para lavar o dinheiro desviado.
Fonte ↗A Group-IB mapeia como o SIM swap deixou de ser um golpe simples de engenharia social contra atendentes de operadora e virou uma fraude estruturada em etapas: primeiro coleta de dados da vítima via phishing, depois transferência ou conversão fraudulenta do número para eSIM contornando a verificação de identidade, e por fim interceptação de códigos de autenticação por SMS para assumir contas bancárias e mover dinheiro para contas-laranja. Um dos casos citados envolveu mais de 80 domínios de phishing registrados em massa para sustentar a coleta de dados que alimenta esse tipo de fraude.
Fonte ↗A Group-IB identificou a campanha ScreamedJungle, ativa desde maio de 2024, que injetou scripts maliciosos disfarçados de ferramenta de analytics em mais de 115 lojas Magento para coletar o fingerprint de navegador de visitantes sem consentimento. Os dados coletados — cerca de 200 mil fingerprints italianos por mês em apenas nove sites — são usados por fraudadores para clonar a 'identidade digital' de usuários legítimos e escapar de sistemas antifraude baseados em reconhecimento de dispositivo.
Fonte ↗A Group-IB detalha um esquema no Oriente Médio que começa com infecção por malware infostealer (como o RedLine Stealer), passa por uma ligação de um falso funcionário de governo e termina com a instalação de ferramentas de acesso remoto que permitem ao golpista ver a tela da vítima em tempo real. Enquanto a vítima acredita estar resolvendo uma reclamação em um portal oficial, o golpista captura dados do cartão e os códigos OTP exibidos na tela.
Fonte ↗Uma campanha de phishing identificada pela Group-IB mirou funcionários de mais de 30 empresas em 12 setores e 15 países, hospedando páginas maliciosas em domínios confiáveis como Adobe InDesign e DocuSign e usando redirecionamentos via Google AMP para escapar de gateways de segurança de e-mail (SEG). As páginas ainda personalizavam o logo da empresa-alvo via API pública, tornando a isca muito mais convincente.
Fonte ↗A Group-IB documenta como fraudadores combinam documentos de identidade adulterados por IA, troca de rosto em tempo real e aplicativos de câmera virtual para enganar sistemas de reconhecimento facial e prova de vida usados no onboarding e na autenticação de instituições financeiras. Um único banco na Indonésia registrou mais de 1.100 tentativas de fraude por deepfake, associadas a perdas nacionais estimadas em US$ 138,5 milhões em três meses.
Fonte ↗Pesquisadores da Group-IB compararam duas famílias de infostealers vietnamitas, VietCredCare e DuckTail, que sequestram contas comerciais do Facebook para fraude publicitária e revenda de acessos. A análise ocorre após a prisão de mais de 20 pessoas em maio de 2024 ligadas a essas campanhas, mas mostra que apenas um dos grupos parece ter sido afetado pela operação policial. O caso ilustra como o roubo de credenciais de contas de anúncio virou um negócio criminoso estruturado e resiliente.
Fonte ↗Pesquisadores identificaram uma campanha coordenada de phishing que se passa por serviços postais em Croácia, Romênia, Sérvia e Eslovênia, usando páginas clonadas quase idênticas às oficiais para roubar dados pessoais e cobrar 'taxas de entrega' fraudulentas. A infraestrutura por trás do golpe parece atender vários países ao mesmo tempo, sugerindo um operador único ou um kit de phishing compartilhado entre grupos regionais.
Fonte ↗A Group-IB documentou uma campanha ativa na Malásia usando o RAT Android CraxsRAT para roubar credenciais bancárias e realizar saques não autorizados, com mais de 190 amostras identificadas concentradas em Kuala Lumpur. As vítimas são atraídas por sites de phishing que imitam marcas locais de alimentação, logística e varejo antes de serem induzidas a instalar o app malicioso.
Fonte ↗O LabHost era uma plataforma canadense de 'phishing-as-a-service' que vendia, por assinatura de US$ 250-300/mês, kits prontos para atacar clientes de bancos como Royal Bank, BMO, CIBC e o sistema de transferências Interac. Com módulos para disparo de SMS em massa e captura de códigos 2FA em tempo real, a operação foi derrubada por ação policial internacional com apoio de inteligência da Group-IB.
Fonte ↗Descoberto pela Group-IB, o VietCredCare é um infostealer em .NET, ativo desde 2022, especializado em roubar credenciais de navegadores vietnamitas e filtrar automaticamente quais contas comprometidas administram anúncios no Facebook Business com saldo de crédito disponível — um alvo de maior valor para revenda ou uso em campanhas fraudulentas.
Fonte ↗A Group-IB detalhou o funcionamento do GoldDigger, trojan bancário Android que se disfarça de app governamental ou de concessionária de energia vietnamita para monitorar 51 aplicativos financeiros, carteiras digitais e apps de criptomoeda. Usando abuso do serviço de acessibilidade e um protetor comercial (Virbox) para dificultar análise, o malware captura senhas, telas e até códigos de segunda autenticação.
Fonte ↗Entre fevereiro e março de 2023, a Group-IB identificou mais de 3.200 perfis fraudulentos se passando por suporte técnico da Meta/Facebook, ativos em 23 idiomas e com indícios de operação desde dezembro de 2020. O golpe usava marcas oficiais e alegações de violação de política para levar vítimas a mais de 220 sites de phishing, coletando tanto senha quanto cookies de sessão — o que permite tomar a conta mesmo sem a senha. Contas comprometidas eram reutilizadas para golpear os próprios seguidores da vítima, criando um efeito cascata.
Fonte ↗A Group-IB documentou a operação da PostalFurious, grupo de língua chinesa ativo desde 2021 que envia SMS falsos de "entrega não realizada" imitando transportadoras reais para induzir a vítima a acessar sites de phishing com typosquatting. As páginas filtram por geolocalização e tipo de dispositivo para só exibir o golpe a alvos relevantes, coletando dados de cartão de crédito e código OTP para realizar transações não autorizadas. A infraestrutura, baseada em kits de phishing em Laravel com painel administrativo, foi rastreada até templates preparados também para França e outros países da Ásia-Pacífico.
Fonte ↗A Group-IB mapeou uma campanha de falsas vagas de emprego que, entre janeiro de 2022 e janeiro de 2023, criou mais de 2.400 páginas fraudulentas no Facebook imitando mais de 40 marcas conhecidas, com foco no setor de logística (64% dos casos). O golpe usa salários irreais para atrair candidatos desesperados, redireciona para páginas de phishing que imitam o login de redes sociais e, após o roubo das credenciais, sequestra a conta e exige resgate para devolvê-la à vítima. Egito, Arábia Saudita e Argélia concentram a maior parte das páginas identificadas.
Fonte ↗Uma investigação da Group-IB mapeou como infostealers populares como RedLine (35 milhões de logs) e Vidar (8,6 milhões de logs) são distribuídos junto com ransomware e RATs em pacotes prontos, formando uma cadeia de fraude que vai do roubo de credenciais à venda de acesso inicial em fóruns da dark web. Os dados coletados incluem senhas de navegador, mais de 30 formatos de carteiras de criptomoedas, dados de cartão e arquivos com nomes como "wallet" e "2fa". O trabalho híbrido, citado no artigo como preferência de 87% dos funcionários pesquisados, amplia o risco ao misturar credenciais corporativas em dispositivos pessoais menos protegidos.
Fonte ↗Pesquisadores da Group-IB identificaram mais de mil domínios falsos imitando uma conhecida agência saudita de recrutamento de trabalhadores domésticos, promovidos via anúncios em redes sociais e conversas no WhatsApp. O golpe combina phishing de dados pessoais, cobrança de uma falsa "taxa de processamento" e, na etapa final, captura de credenciais bancárias e código de autenticação de dois fatores das vítimas.
Fonte ↗A Group-IB detalha a campanha 0ktapus, que usou smishing e kits de phishing simples para roubar quase 10 mil credenciais e mais de 5 mil códigos MFA de funcionários de mais de 130 organizações, majoritariamente empresas de TI e nuvem nos EUA e Canadá. O golpe evoluiu para um ataque em cadeia de suprimento, comprometendo Twilio, Mailchimp e Klaviyo e usando esse acesso para atingir ainda mais vítimas, incluindo carteiras de criptomoedas.
Fonte ↗A Group-IB descobriu um servidor público mal configurado contendo um arquivo com mais de 20 mil selfies de documentos de identidade de cidadãos brasileiros, além de scripts de coleta de dados e ferramentas de tunelamento. O material ficou exposto por cerca de dois meses, e o servidor foi derrubado poucas horas depois da notificação às autoridades brasileiras.
Fonte ↗A Group-IB mapeou três grupos distintos de criminosos que se passavam pela operadora postal SingPost para roubar dados pessoais e bancários de vítimas em Singapura, somando dezenas de vítimas confirmadas e prejuízo de centenas de milhares de dólares. As táticas variavam de SMS fraudulentos com cobrança de falsas taxas de entrega até aplicativos Android trojanizados que interceptavam SMS para roubar códigos OTP, e até phishing em tempo real com técnica man-in-the-middle para burlar a autenticação de dois fatores.
Fonte ↗A Group-IB revelou uma infraestrutura industrializada de phishing direcionado que gera links únicos e personalizados para cada vítima, usando geolocalização, fuso horário e idioma para aumentar a credibilidade do golpe e escapar de detecção automatizada. O esquema explora mais de 120 marcas internacionais — sobretudo empresas de telecomunicações — como isca de falsas premiações, atingindo milhares de vítimas por dia em dezenas de países.
Fonte ↗A Group-IB identificou três grandes redes de sites falsos que se passam por lojas underground de venda de dados de cartões roubados, cobrando 'taxas de ativação' de vítimas que nunca recebem nada em troca. Uma das redes, batizada SPAGETTI, operava mais de 3 mil domínios e movimentou mais de US$ 1,2 milhão, além de distribuir o infostealer Taurus Project para roubar credenciais bancárias e carteiras cripto das próprias vítimas. É um caso de fraude 'entre criminosos', mas que evidencia técnicas de phishing e distribuição de malware financeiro replicáveis contra qualquer usuário.
Fonte ↗A Group-IB descobriu uma operação de golpe em grande escala que usa mais de 4.300 páginas fraudulentas hospedadas no Blogspot, se passando por mais de 47 marcas de telecomunicações e outras empresas conhecidas em 16 países árabes. O esquema usa a isca clássica de 'sorteio premiado' para coletar dados pessoais e induzir as vítimas a compartilhar o golpe em massa pelo WhatsApp, redirecionando depois para phishing, golpes de romance e instaladores maliciosos. A campanha está ativa desde 2013 e teve alta de 54% em novas páginas só no primeiro semestre de 2021.
Fonte ↗O CERT-GIB do Group-IB descobriu uma campanha de phishing via SMS (smishing) que usa mais de 750 domínios para se passar por bancos e outras instituições holandesas, aplicando uma tática batizada de 'corte o cartão' para roubar credenciais bancárias completas. A técnica combina engano digital com uma etapa física inédita no país: pedir que a vítima corte o próprio cartão (que continua funcional) e agende a 'retirada' por um suposto funcionário do banco. As páginas de phishing usavam geolocalização e ferramentas anti-bot para evitar detecção, chegando a durar 6 dias no ar contra a média de 24 horas.
Fonte ↗A Group-IB identificou a operação criminosa All World Cards (AWC), que divulgou gratuitamente um arquivo com dados completos de 1 milhão de cartões bancários roubados — incluindo número, validade, CVV, nome do titular e endereço — como estratégia de marketing para atrair compradores ao seu marketplace ilegal. Os cartões afetam mais de mil bancos em mais de 100 países, com destaque para Índia, México, EUA e Austrália, e 97% ainda estavam válidos apesar de datarem de 2018-2019.
Fonte ↗A Group-IB expôs a Fraud Family, um grupo criminoso de língua neerlandesa que vendia e alugava kits de phishing completos, com painéis de controle em tempo real, para outros golpistas atacarem residentes da Holanda e Bélgica. O esquema incluía bypass de autenticação de dois fatores e spoofing de marcas de bancos e empresas conhecidas. A investigação, feita em colaboração com a polícia holandesa, resultou na prisão de dois suspeitos.
Fonte ↗Pesquisadores da Group-IB destrincharam o esquema FontPack, que injeta scripts maliciosos em sites legítimos comprometidos para exibir avisos falsos de atualização de Flash Player, navegador ou fontes do sistema. Ao clicar, a vítima baixa o infostealer RedLine, que rouba credenciais salvas, dados de autocomplete e informações bancárias armazenadas no navegador. O artigo também faz a atribuição do kit a um ator identificado como DR.PREDATOR, que o distribuiu gratuitamente em fóruns underground.
Fonte ↗A Group-IB analisou um grande banco de dados de kits de phishing usados para clonar páginas de login de marcas conhecidas. O estudo mostra como esses kits são vendidos e reutilizados por criminosos para roubar credenciais e dados bancários em massa. Mais de 260 marcas foram identificadas como alvo em 2020, com destaque para serviços de e-mail, financeiros e plataformas online.
Fonte ↗A Group-IB descreveu uma campanha que combinou o JS-sniffer FakeSecurity, injetado em lojas online Magento para capturar dados de cartão no checkout, com o infostealer Raccoon, distribuído via documentos maliciosos e páginas de phishing disfarçadas de Adobe Reader. A operação, ativa entre fevereiro e setembro de 2020, tinha como objetivo explícito roubar dados de pagamento e credenciais de usuários em múltiplas frentes simultâneas.
Fonte ↗Pesquisadores identificaram uma campanha de phishing chamada PerSwaysion que abusa dos serviços legítimos de compartilhamento de arquivos da Microsoft (Sway, SharePoint e OneNote) para roubar credenciais de Office 365. O golpe já comprometeu mais de 150 executivos de alto escalão em empresas financeiras, escritórios de advocacia e imobiliárias, principalmente nos EUA, Canadá e centros financeiros globais.
Fonte ↗Um grande júri federal da Califórnia indiciou o russo Searzhudin Tamirlanovich Aktulaev, extraditado após ser detido no Chipre, por operar uma campanha de phishing que, entre 2016 e 2017, usou 255 contas falsas para enviar planilhas Excel maliciosas a 80 mil freelancers de uma plataforma de emprego. Os malwares TVRAT e DarkVNC davam controle remoto total sobre as máquinas infectadas via TeamViewer e VNC, coletando credenciais de e-commerce e dados pessoais posteriormente usados para fraude.
Fonte ↗O Group-IB documentou uma campanha com 95 sites falsos imitando 19 grandes marcas de aviação (Emirates, Lufthansa, Delta, Air France, entre outras), anunciados via posts no Facebook prometendo passagens grátis. Ao 'ganhar' o sorteio fictício, a vítima entrega nome, e-mail, telefone, data de nascimento e endereço, e ainda é induzida a curtir e compartilhar a publicação, recrutando os próprios amigos para o golpe.
Fonte ↗