Phishing

Uma nova campanha de phishing está direcionada a usuários do Dropbox, especialmente em ambientes corporativos, com o objetivo de roubar credenciais de login. Pesquisadores da Forcepoint identificaram que os ataques se disfarçam como e-mails legítimos, contendo PDFs que parecem inofensivos. Ao clicar em links dentro desses documentos, as vítimas são redirecionadas para uma página falsa de login do Dropbox, onde suas informações são coletadas. Os criminosos utilizam endereços de e-mail que aparentam ser profissionais, dificultando a detecção pelos filtros de segurança. Após o fornecimento dos dados, um script é acionado, capturando e enviando informações sensíveis, como e-mail, senha e endereço IP, para um canal privado no Telegram controlado pelos hackers. O golpe é sofisticado, pois apresenta uma mensagem de erro ao usuário, fazendo-o acreditar que digitou a senha incorretamente. A situação é alarmante, pois a conta do Dropbox comprometida pode levar a vazamentos de dados sensíveis, exigindo atenção redobrada de empresas e usuários em geral.

A modelo Bruna Cristine de Menezes de Castro, conhecida como Barbie do Crime, foi presa em Goiânia por sua ligação com uma série de golpes virtuais. A detenção ocorreu no dia 30 de janeiro de 2026, realizada pelo Batalhão 31º BPM, e está relacionada a condenações anteriores de 2015, onde ela aplicou fraudes na venda de produtos como celulares e cosméticos que nunca foram entregues às vítimas. As perdas financeiras das vítimas somaram R$ 3,8 mil, com uma delas perdendo R$ 3,1 mil e outra R$ 700. Bruna já havia sido condenada a prestar serviços comunitários e pagar uma multa, mas descumpriu as condições de sua pena, levando à sua prisão atual. Além disso, a modelo possui um histórico criminal que inclui estelionato e uso de documentos falsos, com processos em andamento em diferentes estados do Brasil. Sua prisão mais recente ocorreu em um local onde estava acompanhada de outros foragidos, indicando um padrão de comportamento criminoso persistente.

Uma nova campanha de phishing está atingindo o Brasil, com foco no Microsoft Teams. De acordo com uma pesquisa da Check Point Software, o país lidera a América Latina em casos de convites falsos enviados pela plataforma, com mais de 6 mil usuários afetados. Os criminosos enviam mensagens que parecem legítimas, alertando sobre faturamentos e assinaturas, e induzem as vítimas a contatar um suposto serviço de suporte. A técnica utilizada envolve a substituição de caracteres para disfarçar o endereço de origem, que parece ser da Microsoft, aumentando a confiança das vítimas. Além disso, a campanha utiliza engenharia social e vishing, onde os criminosos tentam desestabilizar as vítimas por meio de ligações. Os setores mais impactados incluem manufatura, engenharia e construção, seguidos por tecnologia, educação e serviços financeiros. A pesquisa destaca que o Brasil representa 44% dos casos na América Latina, o que evidencia a necessidade de atenção redobrada por parte das empresas e profissionais de segurança da informação.

Os Programas de Investimento de Alto Rendimento (HYIPs) fraudulentos estão crescendo globalmente, oferecendo lucros ‘garantidos’ que nenhum investimento legítimo pode sustentar. Esses golpes atraem vítimas com promessas de retornos rápidos e elevados, como ‘40% de retorno em 72 horas’. No entanto, a maioria dos HYIPs opera como esquemas de Ponzi, onde os primeiros investidores recebem pagamentos iniciais para criar a ilusão de lucro, enquanto os depósitos subsequentes resultam em saques atrasados ou retidos. Em um estudo recente, foram identificados mais de 4.200 sites promovendo esses esquemas fraudulentos, com 485 incidentes registrados apenas em dezembro de 2025, evidenciando a escalabilidade e a persistência dessas fraudes. Os operadores de HYIPs utilizam redes sociais e anúncios pagos para disseminar seus golpes, além de oferecer programas de referência que incentivam as vítimas a recrutar novos investidores. O ciclo típico de um HYIP envolve a criação de plataformas falsas, promoção em redes sociais, construção de confiança com resultados fabricados e, por fim, o bloqueio de saques e o desaparecimento dos operadores. A análise destaca a necessidade de vigilância e educação sobre esses riscos, especialmente em um cenário onde a regulamentação e a proteção ao consumidor são cruciais.

Nos últimos meses, uma campanha de phishing em larga escala tem atacado usuários de serviços de armazenamento em nuvem em todo o mundo, enviando e-mails fraudulentos que alertam sobre supostos problemas de pagamento que podem resultar no bloqueio ou exclusão de fotos e arquivos. Os e-mails, que se apresentam como notificações legítimas, criam um senso de urgência ao afirmar que a renovação da assinatura falhou ou que o método de pagamento expirou. Os remetentes utilizam uma variedade de domínios, muitos dos quais parecem ser gerados aleatoriamente, e os assuntos dos e-mails são projetados para incitar medo, como “Ação Imediata Necessária” e “Sua Conta Foi Bloqueada”. Ao clicar nos links contidos nos e-mails, os usuários são direcionados a páginas de phishing que imitam portais de serviços de nuvem, onde são induzidos a fornecer informações pessoais e financeiras. É crucial que os usuários reconheçam que esses e-mails não são comunicações legítimas e que devem ser excluídos sem clicar em nenhum link. Para verificar questões relacionadas a armazenamento em nuvem, recomenda-se acessar diretamente o site oficial do serviço em questão.

A Mandiant alertou sobre uma onda crescente de ataques de roubo de dados SaaS, orquestrados pelo grupo ShinyHunters, que estão sendo impulsionados por ataques de phishing por voz (vishing). Os criminosos se passam por funcionários de TI e helpdesk, contatando diretamente os colaboradores para alegar que as configurações de autenticação multifator (MFA) precisam ser atualizadas. Durante a ligação, as vítimas são direcionadas a sites de phishing que imitam os portais de login de suas empresas, onde suas credenciais de SSO e códigos MFA são capturados. Os atacantes, enquanto ainda estão em contato com a vítima, conseguem autenticar-se em tempo real, ativando dispositivos próprios para manter o acesso. Uma vez dentro, eles podem acessar uma variedade de aplicativos SaaS, como Salesforce, Microsoft 365 e Google Drive, utilizando um único conjunto de credenciais comprometidas. A Mandiant identificou diferentes grupos de ameaças, como UNC6661 e UNC6671, que utilizam técnicas semelhantes, mas com variações nas táticas de extorsão. A empresa recomenda que as organizações adotem medidas de proteção e monitoramento para detectar comportamentos suspeitos relacionados a esses ataques.

A Mandiant, empresa de cibersegurança pertencente ao Google, identificou um aumento nas atividades de grupos de hackers, como o ShinyHunters, que utilizam táticas de engenharia social para realizar ataques de extorsão. Esses ataques envolvem phishing por voz (vishing) e sites falsos de coleta de credenciais, visando obter acesso não autorizado a ambientes de empresas, especialmente em aplicações de software como serviço (SaaS). O objetivo final é roubar dados sensíveis e extorquir as vítimas. Os grupos estão sendo monitorados sob diferentes clusters, como UNC6661 e UNC6671, que têm se mostrado adaptáveis em suas táticas. A Mandiant recomenda que as empresas adotem medidas de segurança, como a implementação de autenticação multifatorial resistente a phishing e melhorias nos processos de suporte técnico. A situação destaca a eficácia da engenharia social e a necessidade de as organizações se protegerem contra essas ameaças emergentes.

Recentemente, usuários relataram receber e-mails fraudulentos que aparentam ser legítimos, enviados de um endereço oficial da Microsoft, especificamente no-reply-powerbi@microsoft.com. Este e-mail está associado ao Power BI, uma ferramenta de análise de dados da Microsoft, que recomenda que seu endereço seja adicionado a listas de permissão para evitar que mensagens sejam bloqueadas por filtros de spam. O golpe em questão envolve uma suposta compra de um plano da Norton LifeLock, onde os golpistas fornecem um número de telefone para cancelamento. Ao ligar, a vítima é induzida a instalar um aplicativo de acesso remoto, permitindo que os criminosos controlem seu computador. A empresa de segurança Proofpoint analisou o incidente e confirmou que os golpistas exploram uma funcionalidade do Power BI que permite a inclusão de e-mails externos em relatórios, facilitando a disseminação de mensagens fraudulentas. A Microsoft está ciente do problema e investiga a situação, embora ainda não tenha emitido um comunicado oficial sobre o caso.

A Microsoft anunciou a implementação de uma nova funcionalidade no Teams, chamada “Reportar uma Chamada”, que permitirá aos usuários sinalizar chamadas suspeitas ou indesejadas como potenciais fraudes ou tentativas de phishing. Este recurso será ativado por padrão e estará disponível para chamadas individuais no Windows, Mac e na versão web do Teams. Ao clicar em “Mais opções” ao lado de uma chamada, os usuários poderão selecionar “Reportar uma Chamada” para enviar um relatório. A Microsoft destacou que, atualmente, os usuários não têm uma maneira simples de relatar chamadas suspeitas, o que deixa as organizações sem visibilidade sobre essas ameaças. Quando uma chamada é sinalizada, metadados limitados, como horários, duração e informações de identificação do chamador, serão compartilhados com a organização e com a Microsoft. A funcionalidade começará a ser disponibilizada para clientes de Lançamento Direcionado em meados de março, com conclusão prevista para o final de março, e estará disponível globalmente até o final de abril. Além disso, a Microsoft já havia introduzido outras funcionalidades de segurança no Teams, como a possibilidade de relatar alertas de ameaças falsos positivos e bloquear usuários externos, visando aumentar a proteção contra ataques de engenharia social.

Na última quinta-feira (22), o Departamento Estadual de Investigações Criminais (Deic) de São Paulo desmantelou uma central de cobranças fraudulentas localizada na Avenida Brigadeiro Faria Lima, um dos principais centros financeiros da capital paulista. A operação resultou na prisão de quatro mulheres, que ocupavam cargos de gerência e supervisão, além de outros dez suspeitos que foram levados para depor. A investigação revelou que o grupo utilizava dados de vítimas, especialmente idosos e pessoas vulneráveis, para realizar cobranças de créditos inexistentes, ameaçando-as com bloqueios de CPF e benefícios. Os criminosos operavam de forma híbrida, realizando tanto cobranças legítimas quanto fraudulentas. Documentos e dispositivos eletrônicos foram apreendidos durante a operação, que também se estendeu a um segundo local em Carapicuíba, na Grande São Paulo. Essa ação faz parte da Operação Título Sombrio, focada em investigações sobre lavagem e ocultação de ativos ilícitos por meios eletrônicos.

Pesquisadores da CheckPoint alertam sobre uma nova técnica de hackers que utilizam o Microsoft Teams para roubar credenciais de e-mail. A estratégia envolve a criação de equipes com nomes relacionados a finanças ou cobranças urgentes, utilizando caracteres ofuscados para evitar a detecção automática. Após a criação da equipe, os atacantes enviam convites que parecem legítimos, levando os usuários a acreditar que precisam resolver problemas de cobrança. Durante chamadas para um número de suporte fraudulento, os hackers tentam extrair informações sensíveis, como senhas. Essa abordagem de engenharia social é mais eficaz do que métodos tradicionais de phishing, pois combina mensagens oficiais da Microsoft com uma linguagem que gera urgência e confiança. O ataque tem afetado organizações em diversos setores, com a maioria dos incidentes ocorrendo nos Estados Unidos, seguido pela Europa e América Latina, onde Brasil e México concentram a maior parte das ocorrências. A conscientização dos usuários e o treinamento para identificar sinais de alerta são essenciais para mitigar esses riscos.

Recentemente, hackers têm utilizado o Microsoft SharePoint como vetor para realizar ataques direcionados a grandes empresas do setor de energia. O método envolve o roubo de credenciais de funcionários, que são inicialmente comprometidas através de e-mails falsos. Os cibercriminosos enviam mensagens que contêm links para sites fraudulentos, onde as vítimas, ao tentarem fazer login, acabam entregando suas credenciais aos atacantes. Uma vez que os hackers obtêm acesso às contas de e-mail corporativas, eles estabelecem persistência no sistema, criando regras para ocultar suas atividades, como deletar mensagens e marcar e-mails como lidos. Isso permite que eles enviem grandes volumes de e-mails de phishing para contatos internos e externos sem levantar suspeitas. A Microsoft alerta que redefinir senhas não é suficiente, pois os atacantes podem alterar configurações de autenticação, incluindo a autenticação de dois fatores, para manter o controle. A recomendação é que as empresas adotem políticas de segurança rigorosas, como monitoramento de IP e localização, e que os usuários permaneçam cautelosos ao clicar em links desconhecidos.

Uma nova campanha de roubo de identidade está em andamento, com foco nas credenciais de single sign-on (SSO) da Okta, visando cerca de 100 grandes empresas. O grupo de hackers conhecido como Scattered LAPSUS$ Hunters (SLH) está utilizando uma técnica sofisticada de vishing (phishing por voz) para obter acesso à infraestrutura corporativa e exfiltrar dados sensíveis, buscando extorquir as vítimas. Os pesquisadores da Silent Push descobriram que os atacantes estão usando um ‘Live Phishing Panel’, que permite interceptar credenciais e tokens de autenticação multifatorial (MFA) em tempo real durante as sessões de login. Embora não haja confirmação de que as empresas-alvo tenham sido comprometidas, o risco é significativo, pois uma sessão do Okta comprometida dá ao invasor acesso a todos os aplicativos do ambiente corporativo. A campanha destaca a necessidade de treinamento de segurança mais eficaz, já que os operadores do SLH são altamente persuasivos e manipulam páginas de phishing em tempo real para enganar as vítimas. As empresas mencionadas incluem nomes de destaque como Atlassian e GameStop, mas até o momento, não há evidências de que tenham sofrido brechas confirmadas.

O gerenciador de senhas 1Password implementou uma nova funcionalidade que avisa os usuários sobre URLs suspeitas de phishing por meio de pop-ups. Essa atualização visa aumentar a segurança dos usuários, ajudando-os a identificar páginas maliciosas e evitando que suas credenciais sejam comprometidas. O serviço, amplamente utilizado, já possui suporte nativo para gerenciamento de passkeys no Windows. Apesar de oferecer essa proteção, a 1Password não preenche automaticamente os dados de login em URLs não cadastradas no cofre, o que significa que os usuários ainda precisam estar atentos a possíveis ataques de typosquatting, onde URLs enganosas podem levar a sites fraudulentos. Uma pesquisa realizada nos EUA revelou que 61% dos usuários já caíram em golpes de phishing, e 75% não verificam a URL antes de clicar em links, o que é especialmente preocupante em ambientes corporativos. A nova funcionalidade será disponibilizada automaticamente para planos individuais e familiares, enquanto administradores de planos empresariais precisarão ativá-la. A 1Password também destacou a crescente utilização de ferramentas de IA em golpes, tornando as páginas falsas mais convincentes do que nunca.

A Kaspersky revelou uma nova campanha de phishing que explora o recurso de convites a equipes da OpenAI para roubar dados bancários de usuários. Os hackers, identificados como norte-coreanos, criam contas empresariais falsas que registram links e números de telefone maliciosos, gerando uma falsa sensação de segurança. Utilizando essas contas, eles enviam e-mails fraudulentos a partir de endereços legítimos, pressionando as vítimas a fornecerem informações financeiras. Os e-mails maliciosos frequentemente alegam renovações de assinatura com valores superiores ou oferecem promoções irresistíveis, levando muitos usuários desavisados a cair na armadilha. Além disso, os criminosos também utilizam táticas de vishing, realizando ligações para pressionar as vítimas em tempo real. A Kaspersky recomenda que os usuários desconfiem de convites não solicitados de plataformas da OpenAI e verifiquem cuidadosamente os endereços de e-mail e números de telefone antes de agir.

A gangue de ransomware ShinyHunters reivindicou a responsabilidade por uma série de ataques de vishing que exploram contas de login único (SSO) em serviços como Google, Microsoft e Okta. Os cibercriminosos utilizam técnicas de engenharia social, se passando por suporte de TI para enganar funcionários e obter credenciais e códigos de autenticação de dois fatores. Uma vez dentro das contas, eles aproveitam o acesso SSO para invadir sistemas corporativos, comprometendo dados sensíveis. Os ataques são facilitados por kits de phishing que imitam sites legítimos em tempo real, adaptando-se às respostas das vítimas durante as chamadas. Embora a Google e a Microsoft tenham negado que seus produtos tenham sido afetados, os hackers afirmam ter utilizado dados de invasões anteriores para contatar funcionários. O uso de SSO, que conecta diversos aplicativos em um único login, aumenta o risco de compromissos em larga escala, especialmente em empresas que utilizam plataformas como Salesforce, Slack e Google Workspace. Este incidente destaca a necessidade urgente de fortalecer a segurança em torno de autenticações e credenciais corporativas.

Pesquisadores da Okta alertam sobre a crescente sofisticação dos kits de vishing, uma variante de phishing que utiliza chamadas de voz para enganar as vítimas. Esses kits são capazes de criar sites falsos personalizados que imitam serviços populares, como Google e Microsoft, e coletar credenciais de login e códigos de autenticação em tempo real. O processo começa com o perfilamento da vítima, seguido pela construção de um site de phishing que é apresentado durante uma ligação feita por um número falsificado ou roubado. Os golpistas orientam a vítima a inserir suas informações, que são imediatamente utilizadas para tentar acessar as contas reais. A capacidade de atualizar o site em tempo real para capturar códigos de autenticação de dois fatores torna esse ataque particularmente perigoso. Para se proteger, a Okta recomenda o uso de autenticação avançada e chaves de acesso, além de medidas anti-phishing. Essa evolução no vishing representa um risco significativo para usuários e empresas, especialmente em um cenário onde a segurança digital é cada vez mais crítica.

Pesquisadores da Palo Alto Networks, através da unidade Unit 42, alertam que hackers estão utilizando Inteligência Artificial Generativa (GenAI) para desenvolver ataques de phishing mais sofisticados e personalizados. A técnica envolve a criação de páginas de phishing dinâmicas que se adaptam ao usuário, utilizando APIs de Modelos de Linguagem de Grande Escala (LLMs) para gerar códigos JavaScript únicos em tempo real. Isso dificulta a detecção por métodos tradicionais, pois o código malicioso não é entregue de forma estática, mas sim gerado na hora, tornando a análise prévia quase impossível. Embora ainda seja uma prova de conceito, a pesquisa indica que os fundamentos para esses ataques já estão sendo explorados, com um aumento no uso de malware e ransomware assistidos por LLMs. Os especialistas recomendam que as empresas restrinjam o uso de serviços LLM não autorizados e implementem medidas de segurança mais robustas para prevenir esses novos tipos de ataques.

O gerenciador de senhas 1Password implementou uma nova funcionalidade para proteger seus usuários contra URLs de phishing, alertando-os sobre possíveis páginas maliciosas. Essa ferramenta, amplamente utilizada em ambientes corporativos, não preenche automaticamente os dados de login em sites cujos URLs não correspondem aos armazenados no cofre do usuário. Apesar dessa proteção, a empresa reconhece que muitos usuários podem não perceber erros sutis, como domínios com grafias incorretas, e ainda assim inserir suas credenciais. Para mitigar esse risco, o 1Password agora exibe um pop-up que alerta os usuários sobre possíveis tentativas de phishing, incentivando-os a verificar cuidadosamente o URL antes de prosseguir. Essa funcionalidade será ativada automaticamente para usuários individuais e de planos familiares, enquanto administradores poderão habilitá-la manualmente para funcionários de empresas. A pesquisa realizada pela 1Password revelou que 61% dos entrevistados já foram vítimas de phishing, e 75% não verificam URLs antes de clicar em links. Diante do aumento das ameaças de phishing, especialmente com o uso de ferramentas de IA por atacantes, essa nova camada de proteção é crucial para a segurança dos usuários.

Durante períodos de férias, os golpistas aproveitam para aplicar o golpe da falsa agência de viagens, criando sites que imitam agências legítimas. Esses sites frequentemente apresentam ofertas irresistíveis, como pacotes de resorts a preços muito baixos, utilizando gatilhos mentais de urgência para forçar pagamentos rápidos. O usuário, atraído por essas ofertas, pode acabar fornecendo dados pessoais e financeiros, que são utilizados para fraudes. Para evitar cair nesse tipo de golpe, é essencial ter atenção redobrada. Descontos acima de 50% devem levantar suspeitas, assim como a exigência de pagamentos via Pix ou transferências para CPFs. Verificar a legitimidade da agência através de ferramentas como o Cadastur e consultar o CNPJ no Ministério do Turismo são passos fundamentais. Caso alguém caia no golpe, é recomendado registrar um boletim de ocorrência e tentar reaver o valor pago, embora a recuperação seja difícil devido à rapidez com que os golpistas movimentam o dinheiro. A melhor defesa é o ceticismo e a pesquisa minuciosa antes de qualquer compra.

O grupo de extorsão ShinyHunters está por trás de uma série de ataques de vishing, visando contas de autenticação única (SSO) em plataformas como Okta, Microsoft e Google. Os atacantes se passam por suporte de TI e ligam para funcionários, induzindo-os a inserir suas credenciais e códigos de autenticação multifator (MFA) em sites de phishing que imitam portais de login corporativos. Uma vez que as contas SSO são comprometidas, os atacantes têm acesso a uma gama de aplicativos e serviços conectados, como Salesforce e Microsoft 365, facilitando o roubo de dados corporativos. A Okta confirmou a utilização de kits de phishing que permitem aos atacantes manipular o que a vítima vê em tempo real durante a ligação, guiando-os no processo de login e autenticação. O grupo ShinyHunters também afirmou que está utilizando dados de violações anteriores para identificar e contatar os funcionários, tornando os ataques mais convincentes. A situação é preocupante, pois as contas SSO comprometidas podem servir como portas de entrada para sistemas corporativos inteiros, aumentando o risco de extorsão e vazamento de dados.

A Microsoft anunciou a implementação de um novo recurso de segurança no Microsoft Teams, chamado “Brand Impersonation Protection” (Proteção contra Falsificação de Marca), que visa proteger os usuários contra fraudes em chamadas VoIP. A partir de fevereiro, a ferramenta começará a ser disponibilizada em um canal de distribuição selecionado. O objetivo principal é alertar os usuários sobre chamadas externas que possam utilizar engenharia social para roubar dados. O sistema realiza uma verificação das chamadas recebidas de contatos externos pela primeira vez, identificando possíveis fraudes antes mesmo que a ligação seja atendida. Caso o usuário aceite uma chamada sinalizada como suspeita, os avisos continuarão durante a conversa, caso os sinais de fraude persistam. A Microsoft destaca que essa medida é crucial para proteger informações confidenciais, especialmente em um ambiente corporativo onde o Teams é amplamente utilizado. A expectativa é que essa nova funcionalidade ajude a mitigar ataques de engenharia social, que podem resultar em prejuízos significativos para as empresas, especialmente em fraudes bancárias.

Pesquisadores de cibersegurança revelaram uma nova campanha de ataque que utiliza credenciais roubadas para implantar software legítimo de Monitoramento e Gerenciamento Remoto (RMM), permitindo acesso remoto persistente a sistemas comprometidos. Os atacantes, em vez de usar vírus personalizados, exploram ferramentas de TI confiáveis pelos administradores, transformando-as em portas dos fundos. A campanha ocorre em duas fases: inicialmente, e-mails falsos disfarçados de convites da plataforma Greenvelope são enviados para roubar credenciais de serviços como Microsoft Outlook e Yahoo!. Após obter essas informações, os atacantes registram-se no LogMeIn com o e-mail comprometido para gerar tokens de acesso RMM. Um executável chamado ‘GreenVelopeCard.exe’, assinado com um certificado válido, é então utilizado para instalar o LogMeIn Resolve, permitindo que os atacantes alterem configurações de serviço e criem tarefas agendadas ocultas para garantir acesso contínuo. Para mitigar essa ameaça, recomenda-se que as organizações monitorem instalações e padrões de uso não autorizados de RMM.

A Microsoft alertou sobre uma campanha de phishing em múltiplas etapas, conhecida como adversário-no-meio (AitM), que está afetando organizações do setor de energia. Os atacantes utilizam serviços de compartilhamento de arquivos do SharePoint para entregar cargas maliciosas, criando regras de caixa de entrada para manter a persistência e evitar a detecção. O ataque começa com um e-mail de phishing, aparentemente enviado de uma organização confiável, que foi comprometida anteriormente. Os criminosos exploram essa confiança para enviar mensagens que imitam fluxos de trabalho de compartilhamento de documentos do SharePoint, induzindo os destinatários a clicarem em links maliciosos. Após a exploração inicial, os atacantes utilizam identidades internas confiáveis para realizar campanhas de phishing em larga escala, enviando mais de 600 e-mails para contatos da vítima, tanto internos quanto externos. A Microsoft enfatiza que a simples redefinição de senhas não é suficiente para mitigar a ameaça, sendo necessário revogar cookies de sessão ativos e remover regras de caixa de entrada criadas pelos atacantes. As organizações são aconselhadas a implementar controles de segurança robustos, como autenticação multifator resistente a phishing e políticas de acesso condicional.

Com a aproximação do período de volta às aulas, a Kaspersky alerta para o aumento de golpes virtuais que visam enganar consumidores em busca de materiais escolares e uniformes. Os cibercriminosos aproveitam a urgência das compras, criando sites falsos que imitam lojas conhecidas, oferecendo preços muito abaixo do mercado e promoções urgentes. Esses golpes podem ocorrer por meio de SMS, WhatsApp, e-mails e redes sociais, levando os usuários a clicarem em links fraudulentos que podem roubar dados pessoais e bancários. Para se proteger, a Kaspersky recomenda que os consumidores verifiquem sempre a fonte das ofertas, acessem diretamente os sites oficiais das lojas e desconfiem de mensagens inesperadas. Além disso, é importante ficar atento a boletos e pagamentos via Pix, confirmando a legitimidade dos documentos antes de efetuar qualquer transação. Com a crescente digitalização das compras, a conscientização sobre esses riscos é fundamental para evitar prejuízos financeiros.

A Microsoft anunciou a implementação de uma nova funcionalidade de segurança chamada ‘Proteção contra Impersonação de Marca’ para chamadas no Teams. Essa ferramenta, que será ativada automaticamente em meados de fevereiro, visa alertar os usuários sobre chamadas VoIP de contatos externos que tentam se passar por organizações confiáveis, um método comum em ataques de engenharia social. Ao receber uma chamada de um contato externo pela primeira vez, o sistema verificará sinais de impersonação de marca e emitirá avisos de alto risco antes que a chamada seja atendida. Os usuários terão a opção de aceitar, bloquear ou encerrar chamadas sinalizadas, e os alertas poderão persistir durante a conversa se sinais suspeitos continuarem. Essa atualização é parte do esforço contínuo da Microsoft para melhorar a segurança da identidade do chamador e a colaboração segura. Além disso, a empresa recomenda que os departamentos de TI atualizem seus materiais de treinamento e preparem suas equipes de suporte para responder a perguntas sobre esses novos avisos. Com mais de 320 milhões de usuários mensais, a segurança no Teams se torna uma prioridade, especialmente em um cenário onde fraudes e ataques cibernéticos estão em ascensão.

A Okta, provedora de identidade em nuvem, emitiu um alerta sobre kits de phishing personalizados que estão sendo utilizados em ataques de engenharia social por voz, conhecidos como vishing. Esses kits, vendidos como parte de um modelo ‘as a service’, são utilizados por grupos de hackers para roubar credenciais de SSO (Single Sign-On) da Okta, Google e Microsoft, além de plataformas de criptomoedas. Diferente das páginas de phishing estáticas, esses kits permitem interação em tempo real, onde os atacantes podem manipular o conteúdo da página enquanto a vítima está em uma chamada. Ao inserir suas credenciais, essas informações são enviadas diretamente ao atacante, que tenta logar na conta da vítima enquanto ainda está na ligação. O ataque é altamente planejado, com os criminosos realizando reconhecimento sobre os alvos e utilizando números de telefone falsificados para se passar por suporte técnico. A Okta recomenda o uso de MFA resistente a phishing, como chaves de segurança FIDO2 e Okta FastPass, para mitigar esses riscos. Este tipo de ataque representa uma ameaça significativa, especialmente para empresas que dependem de serviços de SSO, pois pode levar ao roubo de dados sensíveis e extorsão.

Uma nova campanha de phishing no LinkedIn, identificada pela ReliaQuest, está direcionada a executivos da plataforma, utilizando anúncios falsos de emprego para enganá-los. Os hackers empregam táticas sofisticadas, combinando projetos legítimos de testes de intrusão em Python com o carregamento lateral de DLLs para disseminar ofertas de trabalho fraudulentas. As vítimas são cuidadosamente selecionadas e recebem convites que parecem legítimos, levando-as a clicar em links que instalam um arquivo autoextraível do WinRAR. Ao abrir o arquivo, a vítima extrai arquivos maliciosos que, ao serem acessados, ativam um documento PDF corrompido. Isso permite o carregamento de uma DLL comprometida que executa um código malicioso sem gerar alertas de segurança. O ataque resulta na instalação de um trojan de acesso remoto (RAT) que se comunica com um servidor de comando e controle para roubar dados. O LinkedIn está ciente da situação e trabalha para mitigar as ações criminosas. Especialistas recomendam cautela ao lidar com links e downloads suspeitos em mensagens privadas.

As equipes de segurança em empresas ágeis e em rápido crescimento enfrentam o desafio de proteger os negócios sem comprometer a agilidade. O Google Workspace oferece uma base sólida de segurança, mas suas ferramentas nativas têm limitações, especialmente em relação a ataques direcionados, como o Business Email Compromise (BEC) e phishing. O e-mail continua sendo o principal vetor de ataque, e a proteção nativa do Gmail pode falhar em detectar ameaças sofisticadas. Para melhorar a segurança do Gmail, recomenda-se ativar a varredura avançada, implementar protocolos de autenticação como SPF, DKIM e DMARC, e adotar a autenticação multifatorial (MFA). Além disso, é crucial desativar protocolos legados que não suportam MFA e gerenciar o acesso a aplicativos de terceiros. A plataforma Material Security complementa o Google Workspace, oferecendo proteção avançada contra e-mails e segurança contextual das contas, além de descobrir e proteger dados sensíveis. Com a crescente complexidade das ameaças, é vital que as empresas adotem uma abordagem proativa para garantir a segurança de suas informações e operações.

Uma onda massiva de spam está afetando usuários em todo o mundo, originada de sistemas de suporte Zendesk não seguros. Desde 18 de janeiro, vítimas relatam o recebimento de centenas de e-mails com assuntos estranhos e alarmantes. Embora os e-mails não contenham links maliciosos ou tentativas óbvias de phishing, a quantidade e a natureza caótica das mensagens têm gerado confusão e preocupação entre os destinatários. Os atacantes estão explorando a capacidade do Zendesk de permitir que usuários não verificados enviem tickets de suporte, que geram automaticamente e-mails de confirmação. Empresas como Discord, Tinder e Dropbox foram identificadas como afetadas. Os assuntos dos e-mails incluem pedidos de ordem de apreensão e ofertas de serviços gratuitos, escritos em fontes Unicode para aumentar a confusão. A Zendesk afirmou que está implementando novas funcionalidades de segurança para detectar e interromper esse tipo de spam. A empresa recomenda que as organizações restrinjam a criação de tickets apenas a usuários verificados para evitar abusos futuros.

A LastPass emitiu um alerta sobre uma nova campanha de phishing que se apresenta como uma notificação de manutenção do serviço, solicitando que os usuários façam backup de seus cofres em um prazo de 24 horas. Os e-mails maliciosos contêm links que supostamente direcionam os usuários para um site onde poderiam criar um backup criptografado, mas na verdade visam roubar senhas mestras e sequestrar contas. A empresa enfatiza que não está solicitando backups e que essa tática é comum em ataques de engenharia social. A campanha foi identificada pela equipe de Inteligência de Ameaças da LastPass e começou em 19 de janeiro, com mensagens enviadas de endereços como ‘support@lastpass[.]server8’ e ‘support@sr22vegas[.]com’. Os e-mails, que imitam comunicações legítimas da LastPass, criam um senso de urgência para enganar os usuários. A LastPass recomenda que os usuários nunca compartilhem suas senhas mestras e que relatem incidentes suspeitos. A campanha foi lançada durante um feriado nos EUA, visando uma resposta menos ágil dos usuários. O site de phishing, ‘mail-lastpass[.]com’, estava fora do ar no momento da reportagem.

A LastPass, plataforma de gerenciamento de senhas, emitiu um alerta sobre uma nova campanha de phishing que visa roubar as credenciais mestras dos usuários. Os cibercriminosos estão enviando e-mails fraudulentos que se passam pela LastPass, alegando a necessidade de uma manutenção iminente no sistema. A mensagem falsa cria um senso de urgência, incentivando os usuários a realizar um backup local de suas senhas em um prazo de 24 horas. Essa estratégia de engenharia social é projetada para enganar as vítimas e levá-las a um site de phishing, que redireciona para um domínio comprometido, onde as chaves mestras podem ser capturadas. A LastPass enfatizou que nunca solicitará a senha mestra ou exigirá ações imediatas com prazos apertados. A empresa está colaborando com um parceiro para desmantelar a campanha antes que mais usuários sejam afetados. Este incidente destaca a importância da conscientização sobre segurança digital e a necessidade de vigilância constante contra tentativas de phishing.

O phishing é uma técnica de engenharia social que visa enganar usuários para que revelem informações sensíveis, como dados de pagamento e credenciais. O artigo destaca que mesmo profissionais experientes em cibersegurança podem ser vítimas desse tipo de ataque, especialmente em momentos de distração ou estresse emocional. As mensagens de phishing, que podem chegar por e-mail, SMS ou aplicativos de mensagens, frequentemente imitam interações digitais comuns, como notificações de pacotes ou alertas de segurança, tornando-se cada vez mais convincentes. Além disso, a pesquisa revela que o phishing se transformou em uma economia industrializada, com plataformas de phishing como serviço (PhaaS) que permitem a qualquer pessoa, independentemente de habilidade técnica, realizar ataques sofisticados. O uso de inteligência artificial para gerar mensagens personalizadas e contextuais aumenta ainda mais a eficácia desses ataques. A urgência e a distração são fatores críticos que facilitam a ação dos atacantes, tornando a conscientização e a vigilância hábitos essenciais para todos os usuários.

A LastPass emitiu um alerta sobre uma nova campanha de phishing que se apresenta como um aviso de manutenção do serviço de gerenciamento de senhas. Iniciada em 19 de janeiro de 2026, a campanha envia e-mails fraudulentos que solicitam aos usuários que façam um backup local de seus cofres de senhas em um prazo de 24 horas. Os e-mails possuem linhas de assunto como ‘Atualização da Infraestrutura LastPass: Proteja Seu Cofre Agora’ e ‘Importante: Manutenção LastPass e a Segurança do Seu Cofre’. Os usuários são direcionados a um site de phishing que imita o LastPass, com o objetivo de roubar suas senhas mestras. A empresa enfatiza que nunca solicitará a senha mestra dos usuários e está trabalhando com parceiros para desmantelar a infraestrutura maliciosa. A LastPass também compartilhou os endereços de e-mail dos remetentes dos e-mails fraudulentos, alertando os usuários a permanecerem vigilantes e a reportarem atividades suspeitas. Essa campanha é um exemplo clássico de engenharia social, utilizando a urgência como tática para enganar os usuários. Além disso, a LastPass já havia alertado anteriormente sobre uma campanha de roubo de informações que visava usuários do macOS da Apple, através de repositórios falsos no GitHub.

Um relatório recente da Check Point revelou que a Microsoft lidera o ranking de empresas mais atacadas por phishing, representando 22% das tentativas de golpe. Outras grandes empresas do setor de tecnologia, como Google (13%), Amazon (9%), Apple (8%) e Meta (3%), também foram significativamente afetadas. O estudo destacou que o setor de tecnologia é o principal alvo dos golpistas, que frequentemente utilizam páginas falsas para enganar os usuários e coletar informações sensíveis, como senhas e dados bancários. A pesquisa também observou um aumento nas tentativas de phishing durante períodos de alta demanda, como as compras de Natal, onde a Amazon foi particularmente visada. Além disso, o relatório identificou que empresas como PayPal, Adobe e Booking também enfrentaram tentativas de phishing, embora em menor escala. O ambiente de trabalho se torna um campo minado para esses ataques, especialmente devido à centralidade das credenciais de serviços como Microsoft e Google na autenticação e produtividade. Os especialistas alertam que a proteção contra esses golpes deve ser uma prioridade constante para as empresas de tecnologia.

O artigo destaca a crescente preocupação com ataques baseados em identidade, que se tornaram a principal ameaça enfrentada por organizações. Com métodos como phishing, vazamento de senhas e engenharia social, os atacantes não precisam mais ‘invadir’ sistemas, mas sim ‘fazer login’ em contas comprometidas. Uma vez dentro, eles podem se espalhar rapidamente, causando danos significativos. Para mitigar esses riscos, as empresas devem adotar uma abordagem proativa, implementando medidas como autenticação multifator (MFA), controle de acesso baseado no Princípio do Menor Privilégio (PoLP) e, principalmente, soluções de Detecção e Resposta a Ameaças de Identidade (ITDR). Essas ferramentas oferecem visibilidade detalhada sobre eventos de TI, permitindo que as equipes de segurança identifiquem comportamentos suspeitos e respondam rapidamente. A plataforma tenfold é apresentada como uma solução integrada que combina governança de identidade e segurança, facilitando a automação de processos e a auditoria de eventos. O artigo enfatiza a importância de entender o comportamento normal dos usuários para detectar atividades maliciosas e sugere que as organizações adotem uma postura de ‘melhor prevenir do que remediar’.

Pesquisadores de cibersegurança descobriram uma nova campanha de phishing que utiliza mensagens privadas em redes sociais, como o LinkedIn, para disseminar arquivos maliciosos, possivelmente com a intenção de implantar um Trojan de Acesso Remoto (RAT). A atividade envolve o envio de mensagens a indivíduos de alto valor, estabelecendo confiança e induzindo-os a baixar um arquivo autoextraível do WinRAR. Este arquivo extrai quatro componentes: um leitor de PDF legítimo, uma DLL maliciosa, um executável do interpretador Python e um arquivo RAR que provavelmente serve como isca. A infecção é ativada quando o leitor de PDF é executado, permitindo que a DLL maliciosa seja carregada. O uso de DLL sideloading tem se tornado comum entre atacantes para evitar detecções. Nos últimos dias, pelo menos três campanhas documentadas utilizaram essa técnica para entregar malwares como LOTUSLITE e PDFSIDER. A DLL maliciosa instala o interpretador Python e cria uma chave de registro no Windows para garantir a execução automática em cada login. O payload final tenta se comunicar com um servidor externo, permitindo acesso remoto persistente e exfiltração de dados. Essa abordagem demonstra que ataques de phishing não se limitam a e-mails, explorando lacunas de segurança em plataformas de redes sociais, que geralmente têm menos monitoramento.

Recentes fraudes digitais no Brasil, que utilizam manipulação de imagens, levantaram preocupações sobre a segurança das contas Gov.br e a eficácia dos sistemas de autenticação biométrica. Criminosos têm conseguido acessar dados sensíveis ao combinar engenharia social, falsificação visual e falhas na verificação de identidade digital. Especialistas, como Daniel Barbosa da ESET, alertam que a biometria, embora considerada segura, não deve ser o único método de autenticação. A recomendação é adotar múltiplas camadas de proteção, como senhas fortes e autenticação em dois fatores, para aumentar a segurança das contas. O uso de tecnologias de inteligência artificial, como deepfakes, permite a criação de vídeos e áudios que podem enganar sistemas de detecção, tornando a situação ainda mais crítica. Para mitigar riscos, os usuários devem estar atentos a acessos suspeitos e realizar ações imediatas, como trocar senhas e contatar o suporte da plataforma. O artigo destaca a importância de uma abordagem de segurança mais robusta e integrada para proteger informações pessoais e serviços públicos essenciais.

O PagBank anunciou um reforço nas suas medidas de cibersegurança no início de 2026, em resposta ao aumento das fraudes digitais no Brasil. O país, que ocupa a segunda posição mundial em ciberataques, registrou quase 7 milhões de tentativas de fraude no primeiro semestre de 2025, um aumento de 29,5% em relação ao ano anterior. Para combater essa situação, o PagBank implementou diversas funcionalidades de segurança, como alertas de login em dispositivos de risco, que notificam os usuários sobre tentativas de acesso suspeitas, e o uso de QR Codes para autenticação de transações. Além disso, a empresa introduziu a rede ‘Wi-Fi Seguro’, que protege os usuários em conexões públicas, e utiliza inteligência artificial para detectar comportamentos suspeitos e tentativas de engenharia social. A importância da vigilância constante por parte dos clientes também foi enfatizada, destacando que, apesar das tecnologias avançadas, o cuidado individual é crucial na prevenção de fraudes.

O LinkedIn se tornou alvo de uma nova campanha de phishing que utiliza comentários na plataforma para espalhar malware. De acordo com uma reportagem do Bleeping Computer, usuários relataram comentários suspeitos que aparentam ser legítimos, vindo do próprio LinkedIn. Os hackers criam mensagens falsas que alertam sobre uma suposta violação das políticas da plataforma, levando ao bloqueio temporário da conta do usuário. Após essa notificação, um link é compartilhado para reativar a conta, direcionando a vítima a uma página semelhante à de login do LinkedIn. Nesse momento, os criminosos conseguem coletar informações sensíveis, pois os usuários, acreditando na legitimidade do aviso, inserem suas credenciais na página maliciosa.

Fraudes por falsificação de identidade em criptomoedas estão causando perdas significativas, com um prejuízo estimado em US$ 17 bilhões para 2026, conforme relatório da Chainalysis. Em 2025, foram desviados cerca de US$ 14 bilhões para contas criminosas, um aumento em relação aos US$ 13 bilhões de 2024. O crescimento alarmante de 1400% nos casos de falsificação de identidade é impulsionado por táticas de phishing e engenharia social, além do uso crescente de inteligência artificial (IA) por criminosos, que facilita ataques mais rápidos e coordenados. Os golpes que utilizam IA geraram em média US$ 3,2 milhões em criptomoedas por operação, evidenciando a industrialização da fraude. Especialistas alertam que a situação pode se agravar, exigindo atenção redobrada de usuários e empresas que operam no setor de moedas digitais.

O artigo destaca que, apesar da segurança cibernética frequentemente discutir novas ameaças, os ataques mais eficazes em 2025 são semelhantes aos de 2015. Os invasores continuam a explorar pontos de entrada conhecidos, mas com maior eficiência. A cadeia de suprimentos é um foco crítico, como demonstrado pela campanha Shai Hulud NPM, onde um único pacote comprometido pode afetar milhares de projetos. A inteligência artificial facilitou a execução de ataques, permitindo que até indivíduos realizem operações complexas que antes exigiam grandes equipes. O phishing permanece uma ameaça significativa, pois os humanos continuam sendo o elo mais fraco, exemplificado por um ataque recente que comprometeu pacotes com milhões de downloads. Além disso, extensões de navegador maliciosas continuam a contornar os mecanismos de segurança das lojas oficiais. O artigo conclui que, em vez de buscar novas estratégias de defesa, é essencial corrigir os modelos de permissão e fortalecer a verificação da cadeia de suprimentos, priorizando a segurança básica.

A Microsoft divulgou um estudo que alerta os usuários do Office 365 sobre ataques de phishing que podem ser realizados através de e-mails com configurações vulneráveis. A pesquisa, realizada pelo Microsoft Threat Intelligence, revela como cibercriminosos conseguem falsificar domínios legítimos, enganando as vítimas que confiam na empresa. O ataque é facilitado por um ‘roteamento complexo’ e pela falta de proteções adequadas contra falsificação de domínios nas contas de e-mail, o que aumenta o risco de violações de segurança.

Um novo relatório do Fórum Econômico Mundial (WEF) revela que as empresas estão começando a levar a sério os riscos de segurança associados à inteligência artificial (IA). Quase dois terços (64%) das empresas agora avaliam os riscos antes de implementar ferramentas de IA, um aumento significativo em relação a 37% no ano anterior. A pesquisa, realizada em colaboração com a Accenture, indica que 94% dos executivos acreditam que as ferramentas de IA serão o principal motor de mudança em suas estratégias de cibersegurança até 2026. Apesar do aumento na conscientização sobre as vulnerabilidades relacionadas à IA, como vazamentos de dados e fraudes, as empresas também estão adotando IA para combater essas ameaças, com 77% utilizando a tecnologia para melhorar a segurança cibernética. As aplicações mais comuns incluem a detecção de phishing (52%) e a automação de operações de segurança (43%). No entanto, desafios como a falta de habilidades e a necessidade de validação humana ainda impedem a adoção mais ampla da IA na segurança. O WEF prevê que ameaças como phishing convincente e fraudes automatizadas se tornarão mais prevalentes, destacando a necessidade urgente de as empresas se adaptarem a esse novo cenário de ameaças.

Em 2026, os golpes digitais devem se intensificar, impulsionados pelo uso da inteligência artificial (IA) por criminosos. Daniel Barbosa, pesquisador de segurança da ESET no Brasil, destaca que a IA está sendo utilizada para criar e-mails e sites falsos com maior precisão, tornando as fraudes mais convincentes. Os golpistas coletam dados de vazamentos para personalizar suas abordagens, tornando-as mais atraentes para as vítimas. Além disso, a evolução dos deepfakes dificulta a identificação de fraudes visuais, exigindo que os usuários adotem camadas adicionais de segurança. Barbosa recomenda que qualquer contato recebido de forma passiva deve ser tratado com desconfiança. Os golpistas também exploram sazonalidades, como o pagamento de impostos, para enganar as vítimas. Para se proteger, é essencial verificar sempre as URLs, desconfiar de solicitações inesperadas e validar transações financeiras com um canal de comunicação diferente. Caso alguém seja vítima de um golpe, é importante acionar imediatamente o Mecanismo Especial de Devolução (MED) e registrar um boletim de ocorrência.

O spear phishing é uma forma sofisticada de phishing que visa indivíduos específicos, utilizando informações pessoais e profissionais para enganar as vítimas. Diferente do phishing tradicional, que envia e-mails genéricos, o spear phishing é um ataque direcionado, onde os cibercriminosos realizam um trabalho de inteligência para coletar dados sobre a vítima, como cargo, empresa e até detalhes pessoais, geralmente através de redes sociais e vazamentos de dados. Segundo o relatório da Verizon, 68% das violações de dados têm o elemento humano como fator, e o spear phishing é uma das principais portas de entrada para esses ataques. Os golpistas podem se passar por figuras de autoridade, como um diretor de TI, ou por fornecedores legítimos, utilizando técnicas como spoofing de e-mail e domínios similares aos reais para enganar os filtros de segurança. O impacto financeiro é significativo, com perdas globais superiores a US$ 50 bilhões, afetando não apenas o setor financeiro, mas também áreas como Recursos Humanos e Cadeia de Suprimentos. Para se proteger, é essencial ter uma cultura de confirmação, verificar remetentes e utilizar autenticação de dois fatores, além de estar atento a sinais de urgência nas comunicações.

O FBI emitiu um alerta sobre uma nova campanha de phishing originada na Coreia do Norte, que utiliza QR Codes maliciosos para contornar sistemas de segurança de e-mails. Desde maio de 2025, grupos criminosos têm como alvo laboratórios de pesquisa, instituições acadêmicas e entidades governamentais em todo o mundo. O método principal envolve o envio de QR Codes comprometidos via e-mail, disfarçados como mensagens de remetentes confiáveis, como funcionários de embaixadas. Ao escanear o código, as vítimas são direcionadas a um ambiente controlado pelos hackers, que coletam informações sensíveis, como logins e localização. Além disso, esses códigos podem reproduzir tokens de sessão, burlando a autenticação multifator (MFA) e permitindo o sequestro de identidades na nuvem. Para se proteger, o FBI recomenda que as organizações eduquem seus funcionários sobre a verificação da origem dos QR Codes, implementem protocolos de denúncia de atividades suspeitas e utilizem ferramentas de segurança, como gerenciadores de senhas e anti-malware.

O FBI alertou sobre uma nova técnica de phishing, chamada ‘quishing’, utilizada pelo grupo de hackers norte-coreano Kimsuky. Esses ataques visam roubar credenciais de acesso a serviços como Microsoft 365, Okta e VPNs, direcionando usuários a páginas falsas por meio de QR codes maliciosos. Os hackers enviam e-mails que contêm imagens com QR codes, que são mais difíceis de serem detectados por sistemas de segurança, permitindo que os e-mails cheguem às caixas de entrada dos alvos. Ao escanear o código, a vítima é redirecionada por múltiplos links que coletam informações como sistema operacional e endereço IP, levando-a a uma página de captura de credenciais. Uma vez que as credenciais são inseridas, os atacantes podem roubar tokens de sessão, permitindo que eles contornem a autenticação multifator (MFA). O FBI recomenda uma defesa em múltiplas camadas, incluindo treinamento de funcionários e gestão de dispositivos móveis, para mitigar esses riscos. O uso crescente de dispositivos móveis não gerenciados aumenta a vulnerabilidade a esses ataques, tornando-os uma preocupação significativa para organizações, especialmente aquelas que lidam com informações sensíveis.

Recentemente, atores de ameaça associados ao governo russo, identificados como APT28 (também conhecido como BlueDelta), foram vinculados a uma série de ataques de coleta de credenciais. Os alvos incluem indivíduos ligados a uma agência de pesquisa energética e nuclear da Turquia, além de funcionários de um think tank europeu e organizações na Macedônia do Norte e Uzbequistão. Os ataques, que ocorreram entre fevereiro e setembro de 2025, utilizaram páginas de login falsas que imitavam serviços populares como Microsoft Outlook e Google, redirecionando os usuários para sites legítimos após a inserção de credenciais, o que dificultou a detecção. A campanha se destacou pelo uso de documentos PDF legítimos como iscas, incluindo publicações relacionadas a conflitos geopolíticos. A APT28 demonstrou uma dependência contínua de serviços de internet legítimos para hospedar suas páginas de phishing, o que ressalta a eficácia e a sofisticação de suas táticas. A empresa Recorded Future destacou que esses ataques refletem o interesse da inteligência russa em organizações ligadas à pesquisa energética e à cooperação em defesa.

A Microsoft alertou sobre a exploração de roteamento de e-mails mal configurado, que pode facilitar ataques de phishing interno. Esses ataques, que se tornaram mais frequentes desde maio de 2025, utilizam técnicas de spoofing para enviar mensagens que parecem vir de fontes internas, enganando os funcionários. Os e-mails fraudulentos frequentemente contêm temas como mensagens de voz, documentos compartilhados e solicitações de redefinição de senhas, tornando difícil a detecção por parte dos usuários. A empresa identificou o uso de plataformas de phishing-as-a-service (PhaaS), como a Tycoon 2FA, que permitiram a criação de e-mails maliciosos. Em outubro de 2025, a Microsoft bloqueou mais de 13 milhões de e-mails maliciosos gerados por essa plataforma. Para mitigar esses riscos, as organizações devem implementar políticas rigorosas de autenticação, como DMARC e SPF, além de configurar adequadamente serviços de filtragem de spam. O alerta destaca a importância de uma configuração correta do roteamento de e-mails para evitar que hackers comprometam dados sensíveis e realizem fraudes financeiras.