Phishing

A plataforma de phishing Tycoon2FA, que foi desmantelada em uma operação coordenada pela Europol e Microsoft em 4 de março de 2026, já voltou a operar em níveis normais. A ação resultou na apreensão de 330 domínios que faziam parte da infraestrutura da plataforma, incluindo painéis de controle e páginas de phishing. Apesar da interrupção inicial, a CrowdStrike observou que a atividade da Tycoon2FA retornou rapidamente aos níveis anteriores, com um aumento significativo na quantidade de e-mails de phishing enviados. A plataforma, que se especializa em atacar contas do Microsoft 365 e Gmail, utiliza técnicas de adversário no meio (adversary-in-the-middle) para contornar a autenticação de dois fatores (2FA). Desde sua primeira documentação há dois anos, a Tycoon2FA tem se mostrado um ator significativo no cenário de phishing, gerando cerca de 30 milhões de e-mails de phishing por mês. A operação policial não foi suficiente para desmantelar completamente a infraestrutura, e novas páginas de phishing foram rapidamente registradas. A CrowdStrike alerta que, sem prisões ou apreensões físicas, os cibercriminosos conseguem se recuperar facilmente, mantendo a demanda por serviços de phishing.

A Microsoft emitiu um alerta sobre novas campanhas de phishing que estão explorando a temporada de impostos nos Estados Unidos para roubar credenciais e disseminar malware. Os ataques se disfarçam como notificações de reembolso, formulários de folha de pagamento e lembretes de declaração, visando tanto indivíduos quanto profissionais contábeis que lidam com dados financeiros sensíveis. As campanhas utilizam plataformas de Phishing-as-a-Service (PhaaS) para criar páginas falsas que imitam o login do Microsoft 365, além de empregar QR codes e links maliciosos. Uma campanha em larga escala afetou mais de 29.000 usuários em 10.000 organizações, com 95% dos alvos localizados nos EUA. Os e-mails fraudulentos, que se passavam pelo IRS, instruíam os destinatários a baixar um suposto ‘Visualizador de Transcrições do IRS’, levando a um site malicioso que instalava ferramentas de acesso remoto como ScreenConnect. Para se proteger, as organizações devem implementar autenticação de dois fatores (2FA), monitorar e escanear e-mails recebidos e bloquear acessos a domínios maliciosos.

Nos últimos meses, um novo golpe de phishing tem se espalhado, utilizando alertas do Microsoft Azure Monitor para enganar usuários. Esses alertas, que normalmente são usados para monitorar recursos e atividades na nuvem, estão sendo manipulados por criminosos para enviar e-mails fraudulentos que se passam por notificações de segurança da Microsoft. Os e-mails alertam sobre cobranças suspeitas na conta do usuário, incentivando-o a ligar para um número de telefone fornecido. Os golpistas utilizam o endereço de e-mail legítimo azure-noreply@microsoft.com, o que permite que suas mensagens passem por verificações de segurança como SPF, DKIM e DMARC, tornando-as ainda mais convincentes. Os alertas são configurados para serem disparados por condições facilmente acionáveis, como novos pedidos ou pagamentos, e são enviados a uma lista de contatos controlada pelos atacantes. Essa abordagem não só aumenta a credibilidade dos e-mails, mas também cria um senso de urgência, levando os usuários a agir rapidamente. É fundamental que os usuários tratem qualquer alerta do Azure ou da Microsoft que inclua um número de telefone ou solicitação urgente com cautela, pois isso pode levar a roubo de credenciais ou fraudes financeiras.

Recentemente, a CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) e o FBI alertaram sobre campanhas de phishing conduzidas por atores associados aos serviços de inteligência da Rússia. Essas campanhas têm como alvo aplicativos de mensagens comerciais (CMAs) como WhatsApp e Signal, visando indivíduos de alto valor de inteligência, incluindo oficiais do governo dos EUA, militares, figuras políticas e jornalistas. Os ataques resultaram no comprometimento de milhares de contas, permitindo que os invasores visualizassem mensagens, listas de contatos e enviassem mensagens em nome das vítimas. Importante ressaltar que os ataques não exploram vulnerabilidades de segurança, mas sim utilizam engenharia social para enganar as vítimas a fornecerem códigos de verificação ou a clicarem em links maliciosos. A C4, centro de coordenação de crises cibernéticas da França, também emitiu um alerta sobre o aumento dessas campanhas. Para se proteger, os usuários devem evitar compartilhar códigos de verificação e ter cautela ao receber mensagens inesperadas. A Signal enfatizou que nunca solicitará códigos de verificação por mensagens diretas ou redes sociais, alertando que qualquer solicitação desse tipo é uma fraude.

O FBI emitiu um alerta público informando que atores de ameaças ligados à inteligência russa estão atacando usuários de aplicativos de mensagens criptografadas, como Signal e WhatsApp, por meio de campanhas de phishing que já comprometeram milhares de contas. Este é o primeiro reconhecimento público que vincula essas campanhas diretamente aos serviços de inteligência da Rússia. Os ataques visam contornar as proteções da criptografia de ponta a ponta não quebrando a criptografia, mas sim por meio de sequestros de contas. Os atacantes podem acessar mensagens privadas, listas de contatos e até se passar pelas vítimas para lançar novas campanhas de phishing. O FBI destaca que os alvos principais incluem indivíduos com acesso a informações sensíveis, como funcionários do governo dos EUA, militares, figuras políticas e jornalistas. As autoridades de cibersegurança da França e da Holanda também emitiram alertas semelhantes, enfatizando que os ataques são amplos e em andamento em vários países. Os usuários são aconselhados a desconfiar de mensagens inesperadas e a nunca compartilhar códigos de verificação ou escanear QR codes suspeitos.

Sasha-Jay Davies, uma jovem britânica de 19 anos, se tornou vítima de catfishing, uma prática onde indivíduos roubam a identidade de outra pessoa na internet para enganar outros usuários. O caso de Davies é alarmante, pois um perfil falso que usava suas fotos e informações pessoais acumulou mais de 81 mil seguidores no TikTok e 22 mil no Instagram. O impostor, que atuou por quase quatro anos, não apenas gerou constrangimento para Davies, mas também a colocou em situações perigosas, como ser confrontada por pessoas que acreditavam que ela era a responsável por encontros que nunca ocorreram. Apesar da gravidade da situação, a polícia afirmou que pouco poderia ser feito, já que o ato não envolvia extorsão ou ameaças diretas, o que levanta questões sobre a eficácia das leis atuais em lidar com crimes virtuais. Especialistas alertam que a prevenção é crucial, recomendando que os usuários limitem a exposição de informações pessoais e adotem práticas de segurança, como senhas fortes e autenticação em duas etapas. O caso destaca a necessidade urgente de uma legislação mais robusta para lidar com crimes de identidade na era digital.

O uso de ferramentas de inteligência artificial para clonar vozes está se tornando uma realidade preocupante, especialmente em golpes financeiros. Giovanni La Porta, CEO da vortice.ai, destacou em entrevista que criminosos estão utilizando ligações silenciosas para coletar amostras de voz de suas vítimas. Após alguns segundos de conversa, a voz clonada é utilizada para enviar mensagens de áudio pelo WhatsApp, imitando a voz de um familiar ou amigo e solicitando transferências de dinheiro. Essa nova abordagem elimina a desconfiança que normalmente acompanha mensagens de texto, tornando os golpes mais eficazes. A evolução dos deepfakes, que antes eram facilmente identificáveis, agora permite a clonagem de vozes com apenas alguns segundos de áudio. La Porta também mencionou casos em que deepfakes foram usados em reuniões corporativas, levando a decisões baseadas em instruções falsas. Embora a criação de deepfakes não seja, por si só, um crime, o uso malicioso desse tipo de tecnologia levanta preocupações legais e éticas, especialmente no contexto da LGPD no Brasil.

A Inteligência Artificial (IA) está transformando a forma como indivíduos e organizações enfrentam ameaças cibernéticas, especialmente no que diz respeito a ataques de phishing e malware. Os cibercriminosos estão utilizando IA para criar e-mails de phishing personalizados e deepfakes, além de desenvolver malware que consegue evitar a detecção tradicional, imitando comportamentos normais de usuários. Isso torna os modelos de segurança baseados em regras insuficientes para proteger identidades contra essas ameaças habilitadas por IA. Os ataques baseados em IA introduzem riscos distintos, como phishing automatizado e abuso de credenciais, que se adaptam para evitar detecções. Para enfrentar esses desafios, as análises comportamentais precisam evoluir, passando de um monitoramento simples para um modelo de risco dinâmico e baseado em identidade, capaz de identificar inconsistências em tempo real. A segurança deve se estender por toda a infraestrutura, adotando um modelo de segurança de confiança zero, onde nenhum usuário ou dispositivo é automaticamente confiável. Além disso, a proteção de identidades deve incluir análises comportamentais contínuas e controles de acesso granulares, especialmente em ambientes híbridos e multi-nuvem.

A NordVPN lançou uma nova ferramenta gratuita de verificação de fraudes online, que utiliza inteligência artificial para detectar mensagens e imagens falsas em tempo quase real. A ferramenta é acessível a todos, sem necessidade de assinatura, permitindo que até mesmo usuários menos experientes, como idosos, possam se proteger contra tentativas de phishing e fraudes. O funcionamento é simples: o usuário pode colar uma mensagem ou fazer upload de uma captura de tela para receber um veredicto em segundos. A ferramenta analisa textos e imagens em busca de links, números de telefone e endereços de e-mail suspeitos, identificando padrões comuns em fraudes. Com o aumento das fraudes online, que resultaram em perdas de US$ 442 bilhões no último ano, a NordVPN reafirma seu compromisso em proteger os usuários. Além dessa nova funcionalidade, a empresa já oferece outras ferramentas de segurança, como proteção contra chamadas fraudulentas e monitoramento da dark web. Essa iniciativa é um passo importante na luta contra o cibercrime e visa aumentar a conscientização sobre os riscos online.

Pesquisadores da Cofense identificaram uma nova tática de phishing que utiliza o software de suporte LiveChat para imitar marcas reconhecidas como Amazon e PayPal. O golpe começa com e-mails fraudulentos que simulam comunicações legítimas, como notificações de reembolso ou pedidos pendentes. Esses e-mails contêm links que direcionam as vítimas a uma página falsa de atendimento ao cliente, onde os golpistas, muitas vezes se passando por chatbots, solicitam informações sensíveis, como dados de cartões de crédito e códigos de autenticação de dois fatores. A utilização de um software legítimo confere maior credibilidade ao golpe, embora erros gramaticais nas mensagens possam indicar que um humano está por trás da fraude. O relatório destaca que essa abordagem combina engenharia social e roubo de identidade, representando uma evolução nas técnicas de cibercrime. A análise humana e a desconfiança continuam sendo as melhores defesas contra esses ataques.

Pesquisadores da empresa de cibersegurança Group-IB emitiram um alerta sobre o aumento de fraudes relacionadas a falsos rastreios de encomendas online, especialmente utilizando o nome dos Correios. No último ano, mais de 100 campanhas maliciosas foram identificadas, com um pico de atividades entre junho e dezembro de 2025. Os golpistas enviam mensagens de phishing via SMS, alegando problemas na entrega e solicitando que as vítimas cliquem em links que levam a páginas falsas. Essas páginas pedem informações pessoais e financeiras, permitindo que os criminosos roubem dados sensíveis. Os especialistas notaram que muitos dos sites de phishing utilizados possuem características semelhantes a uma plataforma de Phishing como Serviço (PhaaS) de origem chinesa chamada Darcula. O descarte inadequado de etiquetas de encomendas também é uma porta de entrada para esses golpes, ressaltando a necessidade de cuidados redobrados ao rastrear encomendas.

Nos anos 2000, a presença de um cadeado ao lado da barra de endereços era um sinal de segurança na internet, indicando que o site utilizava criptografia SSL/TLS. No entanto, essa percepção está desatualizada, pois mais de 80% dos sites de phishing também exibem esse símbolo. O cadeado apenas garante que a conexão entre o usuário e o servidor é criptografada, mas não assegura que o site é legítimo. Cibercriminosos têm explorado essa confiança, utilizando certificados SSL obtidos rapidamente por meio de autoridades certificadoras gratuitas como o Let’s Encrypt. Técnicas como spoofing e typosquatting permitem que hackers criem cópias quase idênticas de sites oficiais, enganando os usuários. Para se proteger, é essencial verificar o endereço do site em busca de erros sutis, clicar no cadeado para conferir os detalhes do certificado e evitar links suspeitos, especialmente aqueles que criam um senso de urgência. A segurança digital requer uma abordagem mais crítica, onde o cadeado é apenas o primeiro passo para garantir a proteção online.

O golpe do CAPTCHA falso é uma técnica de engenharia social que visa enganar usuários na internet, fazendo-os acreditar que estão interagindo com um sistema legítimo de verificação. Este tipo de golpe se aproveita da familiaridade dos internautas com CAPTCHAs, que são usados para confirmar que o usuário não é um robô. Os criminosos criam uma interface que imita provedores conhecidos, como Cloudflare e reCAPTCHA, e induzem as vítimas a realizar ações perigosas, como baixar malware ou fornecer informações pessoais. Os sinais de alerta incluem CAPTCHAs que solicitam ações incomuns, como abrir janelas do sistema ou instalar extensões desconhecidas. Para se proteger, os usuários devem desconectar-se da internet imediatamente após suspeitar de um golpe, rodar verificações de segurança e alterar senhas em dispositivos limpos. A conscientização sobre esses golpes é crucial, pois a engenharia social é uma das táticas mais eficazes utilizadas por cibercriminosos.

O FBI emitiu um alerta sobre uma nova onda de ataques de phishing onde criminosos se passam por funcionários públicos dos EUA, visando empresas e indivíduos que solicitam permissões de planejamento e zoneamento. Os golpistas utilizam informações disponíveis publicamente para tornar suas mensagens mais convincentes, aumentando a probabilidade de sucesso. As vítimas recebem e-mails não solicitados que mencionam detalhes específicos de suas permissões, como números de aplicação e endereços de propriedades, solicitando o pagamento de taxas associadas. Os pagamentos são direcionados para transferências bancárias, pagamentos entre pares ou criptomoedas. O FBI recomenda que os destinatários verifiquem a legitimidade dos e-mails, conferindo o domínio e o endereço de e-mail, além de contatar diretamente o governo local para confirmar quaisquer taxas pendentes. O alerta destaca a importância de estar atento a mensagens que utilizam domínios não governamentais e que pressionam por pagamentos rápidos. Este tipo de golpe não é novo, já que o FBI havia alertado anteriormente sobre ataques semelhantes, incluindo o uso de deepfakes de áudio para fraudes. O FBI aconselha que as vítimas relatem os incidentes ao Centro de Queixas de Crimes na Internet (IC3).

O uso de anúncios patrocinados no Google, embora legítimo, também é uma porta de entrada para fraudes digitais. Cibercriminosos utilizam a plataforma Google Ads para exibir anúncios que imitam marcas conhecidas, levando usuários desavisados a clicar em links maliciosos. Essa prática, conhecida como ’typosquatting’, envolve a criação de URLs que se assemelham a endereços legítimos, mas que contêm erros sutis, como letras trocadas. Os hackers empregam técnicas como o ‘cloaking’ para enganar tanto os usuários quanto os mecanismos de busca, mostrando conteúdos diferentes para cada um. Para se proteger, é essencial que os usuários verifiquem a autenticidade dos links, evitem clicar em anúncios para serviços críticos e utilizem métodos como digitar diretamente a URL no navegador. O artigo destaca a importância de estar alerta a sinais de urgência em anúncios, que podem indicar tentativas de induzir ações precipitadas. Com a crescente sofisticação dos golpes online, a conscientização e a vigilância são fundamentais para evitar cair em armadilhas digitais.

O artigo aborda a crescente manipulação de Inteligências Artificiais (IAs) por cibercriminosos, destacando como técnicas de engenharia social evoluíram para enganar não apenas humanos, mas também máquinas. Modelos de linguagem como ChatGPT e Claude são explorados para descobrir vulnerabilidades, criar malwares e realizar ataques em larga escala. O conceito de ‘jailbreak linguístico’ é introduzido, onde hackers criam cenários fictícios para contornar as limitações das IAs e obter informações sigilosas. A manipulação de contexto é uma estratégia comum, onde os criminosos assumem identidades de autoridade para persuadir as IAs a relaxar suas defesas éticas. Essa abordagem não só facilita a criação de e-mails de phishing convincentes, mas também permite que indivíduos com pouco conhecimento técnico realizem ataques complexos. O artigo conclui que a cibersegurança do futuro exigirá uma combinação de habilidades técnicas, linguísticas e psicológicas para proteger sistemas contra essas novas ameaças.

A recente análise da Infoblox revelou que criminosos cibernéticos estão explorando o domínio especial .arpa e o DNS reverso IPv6 em campanhas de phishing. O domínio .arpa é reservado para infraestrutura da internet e é utilizado para consultas de DNS reverso, permitindo que sistemas mapeiem endereços IP de volta a nomes de host. Os atacantes, ao obterem controle sobre um bloco de endereços IPv6, conseguem criar registros DNS que redirecionam para sites de phishing, utilizando subdomínios gerados aleatoriamente que dificultam a detecção. Os e-mails de phishing frequentemente contêm iscas que prometem prêmios ou recompensas, levando as vítimas a clicar em imagens que, ao serem resolvidas, direcionam para servidores controlados pelos atacantes. Essa técnica se aproveita da reputação de provedores de DNS como Cloudflare, dificultando a identificação das infraestruturas maliciosas. Além disso, a natureza do domínio .arpa, que não contém informações típicas de domínios registrados, torna mais desafiador para ferramentas de segurança detectar essas ameaças. A campanha observada é dinâmica, com links de phishing que permanecem ativos por poucos dias, complicando investigações e respostas de segurança.

Os arquivos PDF, frequentemente considerados inofensivos, podem esconder perigos significativos, como malware e links maliciosos. Hackers utilizam PDFs para disseminar fraudes digitais, aproveitando a confiança que esses documentos transmitem. Entre as táticas comuns estão links camuflados que levam a páginas de phishing e JavaScript embutido que pode explorar vulnerabilidades do Adobe Reader. Para evitar cair em armadilhas, é crucial realizar o ’teste do mouse’, que consiste em passar o cursor sobre links para verificar a URL real. Ferramentas como VirusTotal e Dangerzone também são recomendadas para analisar a segurança de PDFs, permitindo detectar ameaças antes que causem danos. Caso um PDF suspeito chegue, é mais seguro abri-lo em navegadores como Google Chrome ou Microsoft Edge, que oferecem uma camada de proteção adicional. Sinais de alerta incluem solicitações de conexão com sites desconhecidos, PDFs que pedem a execução de scripts e mensagens de remetentes desconhecidos. A conscientização e a cautela são essenciais para proteger dados pessoais e corporativos contra fraudes digitais.

Um novo tipo de ataque cibernético tem explorado a ingenuidade dos funcionários, levando-os a infectar seus próprios computadores corporativos. Pesquisadores da Huntress relataram uma campanha em que atacantes provocam falhas em navegadores e, em seguida, se passam por suporte técnico para induzir os usuários a realizar ações que comprometem a segurança da rede. O ataque começa com mensagens de spam que geram confusão, seguidas por chamadas de indivíduos que se apresentam como membros da equipe de TI. Essa abordagem cria uma falsa urgência, levando os funcionários a permitir acesso remoto ou executar comandos prejudiciais. Os atacantes utilizam técnicas como o ‘DLL sideloading’ para ocultar o malware entre arquivos legítimos, permitindo que o código malicioso opere sem levantar suspeitas. O impacto pode ser significativo, com um caso documentado em que um invasor se espalhou para nove computadores em apenas 11 horas. Essa mudança de estratégia, que foca na manipulação do comportamento do usuário em vez de explorar vulnerabilidades técnicas, representa um desafio crescente para a segurança cibernética nas empresas.

A LastPass, renomada empresa de gerenciamento de senhas, emitiu um alerta sobre uma nova campanha de phishing que visa roubar credenciais de usuários. Os criminosos estão se passando por funcionários do suporte técnico, enviando e-mails que alegam haver atividades suspeitas nas contas dos usuários. Com um tom urgente, os golpistas incentivam as vítimas a clicarem em links que prometem alterar o endereço de e-mail da conta para evitar invasões. As mensagens incluem frases como ‘denunciar atividade suspeita’ e ‘desconectar e bloquear o cofre’, criando uma falsa sensação de urgência e segurança. Ao clicar nos links, os usuários são direcionados a páginas falsas de login hospedadas em domínios fraudulentos, como ‘verify-lastpass[.]com’, onde suas credenciais são coletadas. A LastPass garantiu que sua infraestrutura não foi comprometida e que nunca solicitará senhas diretamente aos usuários. A empresa também está trabalhando com parceiros para remover os sites fraudulentos. Este incidente destaca a importância da conscientização sobre segurança cibernética e a necessidade de verificar a autenticidade de comunicações recebidas.

Derrick Van Yeboah, um cidadão ganense de 40 anos, se declarou culpado por sua participação em um esquema de fraude que roubou mais de US$ 100 milhões de vítimas nos Estados Unidos, utilizando ataques de comprometimento de e-mail comercial e golpes românticos. Ele concordou em pagar mais de US$ 10 milhões em restituição. Van Yeboah era um membro de alto escalão de uma operação de fraude em larga escala baseada em Gana, que visava americanos entre 2016 e maio de 2023. Ele foi extraditado para os EUA em agosto de 2025, junto com outros cúmplices. Os golpistas, conhecidos como “game boys” ou “sakawa boys”, enganaram homens e mulheres vulneráveis, convencendo-os de que estavam em relacionamentos românticos online e induzindo-os a depositar dinheiro em contas bancárias de intermediários nos EUA. Os cúmplices americanos lavavam o dinheiro e enviavam o restante para os membros da quadrilha na África Ocidental. Van Yeboah foi ligado a perdas superiores a US$ 10 milhões e enfrenta até 20 anos de prisão. O caso destaca a necessidade de vigilância online, especialmente em sites de namoro, onde as vítimas são frequentemente exploradas.

A Epic Games emitiu um alerta sobre um golpe que está afetando jogadores de Fortnite, onde bots de terceiros estão manipulando contas para roubar V-bucks, a moeda do jogo. Desde que a empresa permitiu transações em Ilhas Criativas, surgiram problemas, incluindo um mapa polêmico que facilitava jogos de azar. Jogadores relataram perdas significativas de V-bucks, mesmo sem terem jogado na ilha envolvida. Tim Sweeney, CEO da Epic, mencionou que bots de Discord estão por trás do problema, realizando compras automáticas e ações em nome dos usuários. Apesar das recomendações da Epic para desconectar contas e habilitar autenticação em duas etapas, alguns jogadores ainda enfrentam dificuldades para se livrar dos bots. O suporte do Fortnite ainda não se manifestou sobre a restituição das moedas perdidas, mas orienta os afetados a reportar as compras indevidas. Este incidente destaca a vulnerabilidade das contas de jogos online e a necessidade de medidas de segurança mais robustas.

A Europol, em colaboração com forças policiais de vários países, incluindo Portugal e o Reino Unido, desmantelou a Tycoon 2FA, uma das maiores plataformas de phishing como serviço (PhaaS) do mundo. Essa operação, que ocorreu em agosto de 2023, conseguiu desativar 330 domínios que formavam a infraestrutura central da plataforma, que permitia a cibercriminosos contornar a autenticação de dois fatores (2FA) com facilidade. A Tycoon 2FA operava como um ataque de adversário no meio (AiTM), interceptando credenciais de login e cookies de sessão, permitindo acesso não autorizado a contas de usuários, mesmo aquelas protegidas por múltiplas camadas de segurança. A plataforma era bastante popular no submundo digital, gerando cerca de 400 mil dólares em criptomoedas em menos de um ano e enviando milhões de e-mails de phishing mensalmente, afetando quase 100 mil organizações globalmente, incluindo instituições educacionais e de saúde. A operação contou com o apoio de empresas como Microsoft e Cloudflare, que ajudaram a identificar e desativar os domínios utilizados pelos atacantes.

O Tycoon 2FA, um dos principais kits de phishing como serviço (PhaaS), foi desmantelado por uma coalizão de agências de segurança e polícia. Lançado em agosto de 2023, o kit permitiu que cibercriminosos realizassem ataques de coleta de credenciais em larga escala, afetando quase 100 mil organizações globalmente, incluindo escolas e hospitais. O kit, que era vendido por meio de plataformas como Telegram e Signal, oferecia um painel de administração web para configurar e monitorar campanhas de phishing, permitindo o acesso a informações sensíveis, como credenciais e códigos de autenticação multifatorial (MFA). O desmantelamento resultou na remoção de 330 domínios associados ao serviço criminoso, que gerava dezenas de milhões de e-mails de phishing mensalmente. A Europol e a Microsoft relataram que o Tycoon 2FA foi responsável por 62% de todas as tentativas de phishing bloqueadas pela Microsoft até meados de 2025. A análise geográfica revelou que os EUA tinham a maior concentração de vítimas, seguidos pelo Reino Unido e Canadá. O impacto desses ataques é significativo, pois pode levar a sequestros de contas e perda de dados sensíveis.

A LastPass, fornecedora de software de gerenciamento de senhas, emitiu um alerta sobre uma campanha de phishing que visa seus usuários. Os atacantes estão enviando e-mails que imitam representantes da LastPass, utilizando nomes de exibição falsificados e linhas de assunto que simulam conversas internas sobre solicitações de alteração de e-mail. Os e-mails contêm links que direcionam os usuários a uma página de login falsa, hospedada no domínio ‘verify-lastpass[.]com’, onde as credenciais dos usuários são coletadas. A LastPass esclareceu que sua infraestrutura não foi comprometida e que seus agentes de suporte nunca solicitarão a senha mestra dos usuários. A empresa está colaborando com parceiros para desativar os sites falsos e recomenda que os usuários relatem comunicações suspeitas. Este não é o primeiro incidente desse tipo; a LastPass já havia alertado anteriormente sobre campanhas de phishing semelhantes. A popularidade da LastPass a torna um alvo frequente para esses ataques, que frequentemente utilizam táticas de engenharia social para induzir os usuários a agir rapidamente e fornecer suas informações pessoais.

Recentemente, a empresa de segurança Malwarebytes identificou uma nova campanha de phishing que utiliza chamadas falsas em plataformas como Zoom e Google Meet para instalar um aplicativo de monitoramento malicioso no Windows. Os hackers criaram um processo que simula a instalação do aplicativo legítimo Teramind, utilizado por empresas para monitorar dispositivos. O golpe começa com um link aparentemente inofensivo que leva a uma página falsa de videochamada, onde o usuário é induzido a baixar um arquivo de atualização. Esse arquivo, na verdade, instala um malware que coleta informações sensíveis, como teclas pressionadas, capturas de tela e histórico de navegação. A campanha também se aproveita da familiaridade dos usuários com essas plataformas de videoconferência, tornando o ataque mais eficaz. Para se proteger, é recomendado verificar o domínio dos links recebidos e evitar instalar atualizações de fontes desconhecidas.

Pesquisadores da Microsoft Defender alertam sobre uma nova técnica de ataque que abusa do mecanismo de redirecionamento legítimo do OAuth para contornar as proteções contra phishing em e-mails e navegadores. Os ataques têm como alvo organizações governamentais e do setor público, utilizando links de phishing que induzem os usuários a autenticar-se em aplicativos maliciosos. Os criminosos criam aplicativos OAuth maliciosos em um tenant que controlam, configurando um URI de redirecionamento que aponta para sua infraestrutura. Mesmo que os URLs pareçam legítimos, eles são manipulados para forçar redirecionamentos silenciosos, levando os usuários a páginas de phishing. Em alguns casos, os atacantes utilizam frameworks como EvilProxy para interceptar cookies de sessão válidos, burlando a autenticação multifator (MFA). Além disso, os atacantes podem entregar arquivos ZIP maliciosos que, ao serem abertos, executam scripts PowerShell para realizar reconhecimento e carregar cargas úteis finais. A Microsoft recomenda que as organizações reforcem as permissões para aplicativos OAuth e implementem políticas de Acesso Condicional para mitigar esses riscos.

Um grupo de hackers brasileiros, conhecido como Tropa do Arranca, está utilizando táticas de engenharia social para roubar e desbloquear iPhones, além de acessar dados sensíveis das vítimas. A abordagem combina o roubo físico de dispositivos com técnicas digitais, como phishing. Os criminosos imitam a interface da ferramenta ‘Encontre meu iPhone’, fazendo com que as vítimas acreditem que estão rastreando seus aparelhos perdidos. Ao clicar em links fraudulentos, as vítimas inserem suas credenciais do iCloud, permitindo que os hackers acessem suas contas. Pesquisadores de segurança identificaram um código suspeito em páginas de login do iCloud, que inclui uma assinatura digital do grupo. Os hackers não apenas desbloqueiam os iPhones, mas também os revendem em mercados clandestinos e acessam informações bancárias. Para se proteger, especialistas recomendam que os usuários nunca insiram suas credenciais em links recebidos por mensagens e que utilizem autenticação em dois fatores. A Tropa do Arranca, embora não seja uma rede global, demonstra uma organização crescente e pode expandir suas atividades em outras regiões do Brasil.

Um novo estudo revela que atores de ameaças estão comercializando abertamente o acesso a sites hackeados, com foco especial nas credenciais comprometidas do cPanel. O cPanel, um painel de controle amplamente utilizado para hospedagem de sites, permite que atacantes realizem uma série de atividades maliciosas, como implantar backdoors, criar novos usuários administrativos e disseminar campanhas de phishing. A pesquisa da Flare analisou mais de 200 mil postagens em grupos fraudulentos ao longo de uma semana, revelando um ecossistema estruturado que opera em larga escala. Os atacantes frequentemente obtêm acesso por meio de credenciais roubadas ou explorando vulnerabilidades em aplicações web. A venda de cPanels comprometidos é altamente commoditizada, com preços variando conforme a qualidade e a reputação da infraestrutura. A falta de autenticação multifatorial e senhas fracas são fatores que contribuem para a vulnerabilidade. Para mitigar esses riscos, as organizações devem implementar medidas de segurança robustas, como autenticação multifatorial e monitoramento contínuo de atividades suspeitas.

A Microsoft alertou sobre novas campanhas de phishing que utilizam e-mails maliciosos e mecanismos de redirecionamento de URLs OAuth para contornar defesas tradicionais de segurança em e-mails e navegadores. Essas campanhas visam organizações governamentais e do setor público, redirecionando as vítimas para infraestruturas controladas pelos atacantes sem a necessidade de roubar tokens de autenticação. Os ataques se aproveitam do comportamento padrão do OAuth, permitindo que os invasores criem URLs que parecem benignas, mas que levam a páginas maliciosas.

Pesquisadores de cibersegurança revelaram detalhes sobre uma nova suíte de phishing chamada Starkiller, que utiliza páginas de login legítimas para contornar as proteções de autenticação multifator (MFA). O grupo de ameaças Jinkusu promove essa plataforma como um serviço de cibercrime, permitindo que usuários escolham marcas para imitar ou insiram URLs reais. A técnica de proxy de páginas de login permite que os atacantes atualizem suas páginas de phishing em tempo real, sem a necessidade de modificar templates. Isso é feito através de uma instância do Chrome sem interface gráfica, que atua como um proxy reverso entre o usuário e o site legítimo, capturando todas as entradas do usuário. Além disso, a evolução de kits de phishing, como o 1Phish, mostra um aumento na sofisticação das ameaças, com a capacidade de capturar códigos de autenticação de um único uso (OTPs) e implementar lógica de impressão digital do navegador para filtrar bots. As campanhas de phishing estão se tornando mais complexas, com ataques direcionados a empresas e instituições financeiras, utilizando técnicas avançadas para evitar a detecção. Essa situação representa um risco significativo para a segurança cibernética, especialmente para empresas que dependem de MFA para proteger suas contas.

O grupo de hackers conhecido como Scattered Lapsus$ Hunters (SLSH) está recrutando mulheres para aprimorar suas operações de engenharia social, especialmente em helpdesks de TI. De acordo com postagens no Telegram, as participantes podem receber entre R$ 2.500 e R$ 5.000 por ligação, dependendo do sucesso na obtenção de credenciais de acesso. O processo de recrutamento envolve a resposta a perguntas de triagem e a adesão a um roteiro durante as chamadas. O objetivo é enganar os funcionários de suporte técnico para que forneçam informações sensíveis, como senhas, que podem ser usadas para acessar redes corporativas. Especialistas em cibersegurança observam que essa tática representa uma evolução calculada nas estratégias do grupo, que busca explorar vozes femininas para evitar perfis de atacantes que os funcionários de TI estão acostumados a identificar. Além disso, a crescente comercialização da engenharia social, com pagamentos baseados em desempenho, indica uma dependência maior de manipulação humana em vez de intrusões técnicas. As organizações são aconselhadas a reforçar a verificação de identidade e a implementar controles de proteção contra roubo de identidade para mitigar esses riscos.

Um homem de 22 anos do Alabama, Jamarcus Mosley, se declarou culpado por extorsão, ciberstalking e fraudes computacionais após sequestrar contas de redes sociais de centenas de mulheres jovens, incluindo menores. Entre abril de 2022 e maio de 2025, Mosley se passou por amigos das vítimas e utilizou táticas de engenharia social para obter códigos de recuperação de contas e senhas. Com as credenciais roubadas, ele tomou controle de contas do Snapchat, Instagram e outras redes sociais. Após o sequestro, Mosley ameaçou divulgar imagens e vídeos íntimos das vítimas ou bloqueá-las de suas contas, a menos que elas atendessem suas exigências, que incluíam o envio de conteúdo sexual explícito ou pagamento em dinheiro. O promotor dos EUA, Theodore S. Hertzberg, destacou que Mosley explorou a confiança de adolescentes e jovens adultos, resultando em um esquema cruel e calculado. O caso inclui exemplos específicos, como o de uma mulher da Geórgia que foi enganada a compartilhar seu código de recuperação do Snapchat, e outra da Flórida que teve suas fotos íntimas publicadas online após recusar os pedidos de Mosley. Ele deve ser sentenciado em 27 de maio. Este caso é um alerta sobre os riscos de interação online e a necessidade de cautela.

Uma nova campanha de phishing está utilizando uma página falsa de segurança de conta do Google para distribuir um aplicativo web malicioso. Este aplicativo, que se aproveita de recursos de Progressive Web App (PWA), é capaz de roubar códigos de verificação de uso único (OTP), coletar endereços de carteiras de criptomoedas e redirecionar o tráfego do atacante através dos navegadores das vítimas. Os criminosos cibernéticos utilizam o domínio google-prism[.]com, que simula um serviço legítimo do Google, e enganam os usuários a conceder permissões arriscadas sob a falsa promessa de aumentar a segurança de seus dispositivos. O aplicativo malicioso pode exfiltrar dados de contatos, informações de localização em tempo real e conteúdos da área de transferência. Além disso, ele atua como um proxy de rede, permitindo que os atacantes realizem requisições através do navegador da vítima. A campanha também inclui um APK para Android que promete proteção adicional, mas que na verdade compromete ainda mais a segurança do dispositivo. Especialistas alertam que o Google não realiza verificações de segurança através de pop-ups e que todas as ferramentas de segurança estão disponíveis no site oficial da conta do Google. A remoção do aplicativo malicioso é recomendada, e os usuários devem estar atentos a sinais de comprometimento.

O Tribunal de Justiça do Estado de Mato Grosso (TJMT) responsabilizou o Bradesco por um golpe de ‘falsa central de atendimento’ que resultou em prejuízos financeiros para uma cliente. A decisão unânime do tribunal determinou que o banco pagasse R$ 5 mil em danos morais e retirasse o nome da vítima do cadastro de inadimplentes. O caso, que ocorreu em dezembro de 2024, envolveu criminosos que se passaram por funcionários do banco e conseguiram acessar remotamente o celular da cliente, contratando um empréstimo de R$ 39,8 mil e realizando uma transferência de R$ 19,9 mil via Pix. Inicialmente, a juíza Lílian Bartolazzi havia julgado o caso improcedente, alegando que a vítima fragilizou sua privacidade ao fornecer dados a desconhecidos. No entanto, a defesa argumentou que o Bradesco deveria ter acionado protocolos de segurança diante das transações atípicas, levando o tribunal a reconsiderar a decisão. O caso destaca a importância de medidas de segurança mais robustas por parte das instituições financeiras para proteger seus clientes contra fraudes.

Um novo golpe envolvendo o sistema de pagamentos Pix está em circulação, onde criminosos utilizam inteligência artificial para gerar comprovantes falsos de transferências. O golpe se baseia na engenharia social, onde os golpistas enviam um comprovante que aparenta ser legítimo, contendo informações corretas como nome, valor e status de ‘concluído’. No entanto, a transferência nunca ocorre, pois o comprovante é gerado por bots que imitam os documentos enviados por bancos. Quando a vítima tenta recuperar o valor através do Mecanismo Especial de Devolução (MED) do Banco Central, a operação é bloqueada, pois não houve uma transferência real. Para se proteger, os usuários devem desconfiar de comprovantes recebidos de desconhecidos, verificar diretamente no aplicativo do banco e estar atentos a sinais como a presença da palavra ‘Agendado’ nos comprovantes. Além disso, é recomendado ativar notificações do banco e evitar chaves ou QR Codes desconhecidos.

No dia 27 de fevereiro de 2026, a Meta, empresa controladora do Facebook, anunciou ações legais contra golpistas que veiculam anúncios falsos em países como Brasil, China e Vietnã. As medidas incluem a suspensão de métodos de pagamento, desativação de contas e bloqueio de domínios utilizados para fraudes. Entre os processados no Brasil estão Vitor Lourenço de Souza e Milena Luciani Sanchez, que usaram imagens de celebridades para promover produtos de saúde fraudulentos. A empresa também enviou notificações a consultores de marketing que prometem contornar políticas de anúncios, permitindo que golpistas continuem suas atividades. A Meta revelou que 19% de sua receita pode ter origem em anúncios ilegais, indicando uma nova postura mais rigorosa contra fraudes. A companhia desenvolveu um programa de proteção que abrange mais de 500.000 celebridades, visando proteger suas imagens e combater a desinformação. Essa ação pode sinalizar uma mudança significativa na abordagem da Meta em relação à segurança e à integridade de sua plataforma.

O Departamento de Justiça dos EUA anunciou a apreensão de US$ 61 milhões em Tether, supostamente ligados a esquemas fraudulentos de criptomoedas conhecidos como ‘pig butchering’. Esses fundos foram rastreados até endereços de criptomoedas utilizados para lavar lucros obtidos de vítimas de fraudes em investimentos. O agente especial da HSI, Kyle D. Burns, destacou que criminosos e lavadores de dinheiro utilizam fraudes cibernéticas para enganar vítimas e ocultar seus ganhos ilícitos. Os golpistas geralmente cultivam relacionamentos românticos em aplicativos de namoro e redes sociais, atraindo indivíduos que são forçados a enganar outras pessoas online sob ameaça. As plataformas fraudulentas apresentavam portfólios de investimento falsos com retornos extremamente altos, levando as vítimas a investir mais. Quando tentavam retirar seus fundos, eram solicitados a pagar taxas adicionais. O DoJ informou que, uma vez que o dinheiro era transferido para carteiras controladas pelos golpistas, ele era rapidamente movimentado para ocultar sua origem. A Tether também anunciou que congelou cerca de US$ 4,2 bilhões em ativos relacionados a atividades ilícitas, incluindo US$ 250 milhões apenas desde junho de 2025.

Especialistas da Varonis descobriram uma plataforma criminosa chamada ‘1Campaign’, que tem operado nos últimos três anos, permitindo que hackers realizem fraudes com o Google Ads. A plataforma é descrita como um ‘disfarce’, pois permite que os criminosos exibam conteúdos diferentes para visitantes e provedores de anúncios. Enquanto as vítimas veem materiais de phishing, os anunciantes legítimos visualizam apenas uma página em branco, o que dificulta a detecção das fraudes.

Além da camuflagem, o 1Campaign oferece ferramentas como análises em tempo real, criação de perfis de visitantes e bloqueio de tráfego de fornecedores. Os hackers podem direcionar anúncios com base no endereço IP e atribuir uma pontuação de fraude aos visitantes, variando de 0 a 100. A plataforma permite que campanhas fraudulentas sejam veiculadas por longos períodos, com maior incidência de anúncios maliciosos em países como EUA, Holanda, Canadá e Japão.

A Polícia Civil de São Paulo, em colaboração com o Ministério Público, lançou a Operação Interestadual Fim da Fábula, visando desmantelar uma quadrilha envolvida em fraudes digitais. A operação, realizada em 24 de fevereiro de 2026, resultou no cumprimento de 173 mandados judiciais, incluindo 120 de busca e apreensão e 53 de prisão temporária, abrangendo os estados de São Paulo, Minas Gerais e o Distrito Federal. Os criminosos são suspeitos de aplicar golpes como o ‘falso advogado’, que causou prejuízos superiores a R$ 8 milhões, e o ‘golpe da mão fantasma’, que utiliza engenharia social para acessar remotamente os celulares das vítimas. Além disso, a quadrilha também está sendo investigada por fraudes relacionadas ao INSS e por movimentar valores obtidos ilegalmente através de plataformas de apostas e fintechs. A Justiça determinou o bloqueio de até R$ 100 milhões em contas de pessoas físicas e jurídicas ligadas aos suspeitos. Um dos principais alvos da operação é o cantor de funk João Vitor Ribeiro, conhecido como MC Negão Original, que ainda não foi localizado pela polícia.

Os ataques de phishing estão se tornando cada vez mais sofisticados e personalizados, dificultando sua detecção, até mesmo por especialistas. A personalização dos golpes é realizada por criminosos que utilizam informações pessoais das vítimas, obtidas através de vazamentos de dados, redes sociais e registros legítimos. Essa nova abordagem permite que os hackers criem mensagens que parecem legítimas, aumentando as chances de enganar as vítimas. Os ataques podem variar desde cobranças falsas de pedágio, que utilizam nomes de sistemas locais, até fraudes mais elaboradas que analisam o comportamento online da vítima para direcionar anúncios fraudulentos. Além disso, golpes românticos, que visam criar uma relação de confiança antes de atacar, também estão em ascensão. Para se proteger, especialistas recomendam o uso de antivírus, gerenciadores de senhas e cautela ao clicar em links suspeitos. A crescente utilização de ferramentas de inteligência artificial para automatizar esses ataques representa um desafio significativo para a segurança cibernética, exigindo atenção redobrada de usuários e profissionais da área.

O coletivo de cibercrime Scattered LAPSUS$ Hunters (SLH) está recrutando mulheres para realizar ataques de engenharia social, especificamente campanhas de vishing (voice phishing) direcionadas a help desks de TI. Segundo a empresa de inteligência de ameaças Dataminr, o grupo oferece entre US$ 500 e US$ 1.000 por chamada, além de fornecer roteiros pré-escritos para facilitar a execução dos ataques. Essa estratégia visa aumentar a taxa de sucesso nas tentativas de se passar por funcionários, uma vez que as vozes femininas podem ser menos suspeitas para os atendentes. O SLH, que inclui outros grupos como LAPSUS$ e Scattered Spider, é conhecido por suas táticas avançadas que burlam a autenticação multifator (MFA) através de técnicas como SIM swapping e MFA prompt bombing. Os ataques frequentemente envolvem a obtenção de acesso inicial por meio de chamadas para help desks, onde os criminosos convencem os atendentes a redefinir senhas ou instalar ferramentas de gerenciamento remoto. A empresa Palo Alto Networks também destacou que o SLH é habilidoso em explorar a psicologia humana, utilizando ferramentas legítimas para se misturar e evitar detecções. Diante desse cenário, as organizações devem treinar suas equipes de suporte para identificar scripts pré-escritos e reforçar políticas de verificação de identidade.

O grupo de ameaças motivadas financeiramente conhecido como “Diesel Vortex” está realizando ataques de phishing para roubar credenciais de operadores de frete e logística nos EUA e na Europa, utilizando 52 domínios. Desde setembro de 2025, a campanha já resultou no roubo de 1.649 credenciais únicas de plataformas essenciais para a indústria de frete, como DAT Truckstop e Penske Logistics. A análise da plataforma Have I Been Squatted revelou que o grupo opera com uma infraestrutura de phishing dedicada, focando em plataformas de alta transação que não são prioritárias em programas de segurança empresarial. Os ataques envolvem o envio de e-mails de phishing utilizando técnicas como homoglifos cirílicos para evitar filtros de segurança e a criação de páginas de phishing que imitam perfeitamente os sites legítimos. As operações do Diesel Vortex foram parcialmente interrompidas após uma ação coordenada entre várias empresas de segurança cibernética. A pesquisa também indicou conexões com indivíduos e empresas na Rússia, sugerindo uma rede de crime organizado mais ampla. Este incidente destaca a vulnerabilidade do setor de logística e a necessidade de medidas de segurança robustas para proteger dados sensíveis.

Um novo serviço de cibercrime chamado 1Campaign está permitindo que criminosos cibernéticos executem anúncios maliciosos no Google que permanecem online por longos períodos, evitando a detecção de pesquisadores de segurança. O 1Campaign é um serviço de camuflagem que passa pelo processo de triagem do Google, mostrando conteúdo malicioso apenas para vítimas reais, enquanto pesquisadores e scanners automáticos são redirecionados para páginas inofensivas. A operação, que está ativa há pelo menos três anos, é gerida por um desenvolvedor conhecido como ‘DuppyMeister’. O sistema filtra visitantes em tempo real, direcionando o tráfego para páginas de destino com base em critérios como geografia e características do dispositivo. Em um caso, 99,4% dos visitantes foram bloqueados, resultando em uma taxa de sucesso de apenas 0,6%. O 1Campaign também oferece uma ferramenta para lançar campanhas maliciosas e benignas, permitindo que os operadores contornem as limitações das políticas do Google. Apesar das várias salvaguardas implementadas pelo Google, a plataforma ainda é utilizada para promover fraudes e malware, destacando a necessidade de vigilância contínua e práticas de segurança rigorosas.

A empresa de tecnologia de anúncios Optimizely, com sede em Nova York, notificou um número não revelado de clientes sobre uma violação de dados resultante de um ataque de phishing por voz. Os atacantes conseguiram acessar alguns sistemas da empresa em 11 de fevereiro, embora a Optimizely tenha afirmado que não houve acesso a dados sensíveis ou informações pessoais, apenas a ‘informações básicas de contato comercial’. A empresa alertou os clientes sobre a possibilidade de novos ataques de phishing utilizando os dados roubados, que poderiam ocorrer por meio de chamadas, mensagens de texto ou e-mails. O ataque foi atribuído a um grupo que utiliza táticas de engenharia social sofisticadas, possivelmente vinculado à operação de extorsão ShinyHunters, que já comprometeu outras empresas de renome. Embora a Optimizely tenha afirmado que suas operações comerciais continuam sem interrupções, a situação destaca a necessidade de vigilância contínua contra ataques de phishing, especialmente em um cenário onde as credenciais de acesso podem ser facilmente manipuladas por criminosos. Os clientes devem estar atentos a tentativas de phishing que possam surgir a partir das informações obtidas durante a violação.

O typosquatting é uma técnica utilizada por cibercriminosos que consiste em registrar domínios fraudulentos que se assemelham a sites legítimos, aproveitando-se de erros de digitação ou confusões comuns entre usuários. Um exemplo recente é o caso do programa 7-Zip, onde um site falso com domínio .com foi criado para enganar os usuários, que normalmente buscam pelo site original .org. Os golpistas utilizam anúncios pagos, conhecidos como malvertising, para garantir que seus sites apareçam no topo dos resultados de busca do Google, frequentemente com a tag ‘Patrocinado’, o que aumenta a probabilidade de cliques. Essa prática é facilitada pela falta de atenção dos usuários, que podem não perceber a diferença entre os domínios. Para se proteger, é essencial que os internautas verifiquem cuidadosamente a barra de endereços antes de clicar em links, evitem resultados patrocinados e utilizem fontes confiáveis, como a Wikipédia, para confirmar a autenticidade dos sites. A desconfiança e a atenção são as melhores defesas contra esses golpes, que podem resultar em perda de dados pessoais e financeiros.

Recentemente, o Brasil tem enfrentado um aumento alarmante de golpes digitais que se disfarçam como comunicações legítimas do Microsoft Teams. Esses ataques, que utilizam engenharia social, frequentemente envolvem convites falsos para reuniões, mensagens de cobrança e solicitações de transferências bancárias. Os criminosos se aproveitam da reputação da Microsoft para enganar os usuários, ocultando suas intenções maliciosas por meio de endereços de e-mail que parecem autênticos. Para ajudar os usuários a se protegerem, o artigo apresenta um checklist com quatro dicas essenciais: verificar a etiqueta de ’externo’ ao lado do nome do remetente, observar o domínio do e-mail, desconfiar de solicitações de ligação e sempre usar canais oficiais para verificar notificações. A Microsoft está implementando medidas para combater esses golpes, mas a conscientização dos usuários é fundamental para evitar fraudes.

O RedVDS é um mercado clandestino de assinatura que opera no universo do cibercrime, permitindo que hackers adquiram ferramentas para realizar ataques digitais. Com uma taxa de assinatura de US$ 24 por mês, a plataforma oferece acesso a recursos como computadores descartáveis, softwares não licenciados e ferramentas de phishing automatizadas. Recentemente, a Microsoft desmantelou o RedVDS, que causou prejuízos estimados em US$ 40 milhões, afetando empresas de diversos setores, incluindo saúde, educação e imobiliário. Os ataques mais comuns incluem fraudes por desvio de pagamento e comprometimento de e-mails corporativos, com mais de 9 mil vítimas identificadas. A plataforma também utilizava inteligência artificial para otimizar suas operações criminosas, tornando os golpes mais sofisticados e difíceis de detectar. Para se proteger, é essencial que usuários e empresas adotem medidas como a autenticação multifator, verificação de mensagens suspeitas e atualização constante de softwares.

Recentemente, grupos de ameaças têm direcionado ataques a organizações de tecnologia, manufatura e finanças, utilizando uma combinação de phishing por código de dispositivo e vishing para comprometer contas do Microsoft Entra. Ao contrário de ataques anteriores que usavam aplicativos OAuth maliciosos, essas campanhas aproveitam IDs de cliente OAuth legítimos e o fluxo de autorização de dispositivo para enganar as vítimas a autenticarem-se. Isso permite que os atacantes obtenham tokens de autenticação válidos, acessando contas sem depender de sites de phishing tradicionais que roubam senhas ou interceptam códigos de autenticação multifator. O grupo ShinyHunters, conhecido por extorsões, foi associado a esses novos ataques. Os atacantes utilizam engenharia social para convencer os funcionários a inserir códigos gerados em páginas de autenticação da Microsoft, o que resulta em acesso não autorizado a serviços corporativos, como Microsoft 365 e Salesforce. Especialistas recomendam que as organizações bloqueiem domínios maliciosos, auditem consentimentos de aplicativos OAuth e revisem logs de autenticação. A situação é preocupante, pois o fluxo de autenticação foi projetado para facilitar a conexão de dispositivos com opções de entrada limitadas, tornando-o vulnerável a abusos.

Matthew Abiodun Akande, um cidadão nigeriano de 37 anos, foi condenado a oito anos de prisão por hackear várias empresas de preparação de impostos em Massachusetts e apresentar declarações fiscais fraudulentas que buscavam mais de US$ 8,1 milhões em reembolsos. Akande foi preso em outubro de 2024 no Aeroporto de Heathrow, em Londres, e extraditado para os Estados Unidos em março de 2025. Ele foi indiciado em julho de 2022, enquanto residia no México.