Cibercrime

Uma nova plataforma de phishing como serviço (PhaaS) chamada ‘ARToken’ foi descoberta, operando como uma afiliada da EvilTokens, que visa comprometer contas do Microsoft 365. Pesquisadores da Cisco Talos identificaram um painel de gerenciamento baseado em React, o ‘ARToken Panel’, que expõe mais de 80 endpoints de API. Através da engenharia reversa do código JavaScript, foram reveladas funcionalidades que vão além do que é comum em plataformas de phishing. A ARToken permite que atacantes roubem tokens de autenticação do Microsoft 365, acessem caixas de entrada do Outlook, sites do SharePoint e arquivos do OneDrive, além de automatizar operações de comprometimento de e-mail corporativo (BEC). A plataforma utiliza um modelo de implantação semelhante ao Cloudflare Workers e permite que afiliados gerenciem suas campanhas em espaços dedicados. O uso de phishing baseado em código de dispositivo da Microsoft, que engana as vítimas a inserirem códigos legítimos, permite que os atacantes contornem a autenticação multifator. Com um aumento significativo nos ataques de phishing, a ARToken representa uma ameaça crescente para organizações que utilizam o Microsoft 365.

As autoridades polonesas prenderam quatro indivíduos ligados a um grupo de cibercrime organizado, acusados de realizar ataques de SIM-swapping. A operação foi conduzida pelo Escritório de Cibercrime da Polônia (CBZC), com apoio do FBI e do Departamento de Segurança Interna dos EUA. Os suspeitos teriam utilizado técnicas sofisticadas, incluindo engenharia social e software especializado, para obter dados de telecomunicações e acessar contas de e-mail de funcionários de empresas parceiras. Com isso, conseguiram sequestrar números de telefone, interceptar mensagens SMS e e-mails, e controlar contas em exchanges de criptomoedas. Estima-se que milhões de dólares tenham sido roubados e lavados através de uma rede financeira distribuída. Os quatro detidos enfrentam acusações de participação em organização criminosa, invasão de sistemas de TI para roubo e lavagem de dinheiro, com penas que podem chegar a 25 anos de prisão. Um dos indivíduos foi identificado como Wojtek Kulisz, conhecido como ‘Merry’.

Uma operação coordenada de aplicação da lei, em parceria com empresas do setor privado como Bitdefender, ESET e Microsoft, resultou na desarticulação de infraestruturas criminosas associadas aos malwares Amadey e StealC. O objetivo principal foi interromper as ’linhas de montagem’ utilizadas por cibercriminosos para lançar ataques de ransomware e fraudes financeiras. Durante a ação, que durou duas semanas, foram identificados e restritos ativos de criptomoeda de origem criminosa avaliados em mais de 47 milhões de dólares, além da recuperação de 27 milhões de credenciais de login roubadas. A operação também desmantelou 326 servidores e 142 domínios relacionados a essas ameaças. O malware Amadey, ativo desde 2018, é um loader que facilita a introdução de outros malwares, enquanto o StealC, que surgiu em 2023, é um infostealer que coleta informações sensíveis de usuários. A colaboração entre o setor público e privado foi destacada como fundamental para o sucesso da operação, que representa um passo significativo na luta contra o cibercrime em escala global.

Um novo relatório da INTERPOL destaca um aumento dramático no cibercrime na Ásia e no Pacífico, impulsionado pela rápida digitalização e pela penetração da internet. O relatório de Avaliação de Ciberameaças da INTERPOL para 2025/2026 revela que o phishing é a forma mais comum e financeiramente prejudicial de crime cibernético, com um terço dos países da região relatando mais de 10.000 casos entre janeiro de 2024 e março de 2025. Mais da metade dos países membros da INTERPOL indicou que o cibercrime representa pelo menos 30% de todos os crimes registrados. O diretor de Cibercrime da INTERPOL, Neal Jetton, enfatiza que os criminosos estão utilizando inteligência artificial e técnicas de engenharia social em larga escala. O relatório também aponta um aumento significativo em ataques de ransomware, com mais de 135.000 incidentes registrados em 2024, afetando principalmente os setores imobiliário, manufatureiro e de serviços financeiros. Além disso, a utilização de tecnologias como deepfake para fraudes e exploração sexual tem crescido, com organizações criminosas transnacionais estabelecendo centros de fraude que utilizam trabalho forçado. O fortalecimento da cooperação operacional e da resiliência cibernética é essencial para proteger comunidades e infraestruturas críticas na região.

O Google anunciou que está tomando medidas legais contra uma rede de cibercrime chinesa, acusando-a de utilizar seu agente de inteligência artificial, Gemini, para enviar mensagens de phishing direcionadas a cidadãos americanos. A rede é responsável pelo desenvolvimento de um kit de software chamado Outsider, que permite a criação de páginas fraudulentas e o envio de ataques massivos de smishing, ou phishing via SMS. As mensagens, que se passam por marcas legítimas, alertam os usuários sobre ‘problemas em contas de corretagem’ ou oferecem ‘recompensas através de operadoras de telefonia’.

Uma operação liderada pela INTERPOL, chamada Operação Ramz, resultou na desarticulação da plataforma de phishing conhecida como Sniper Dz, que atuava há mais de uma década. Entre outubro de 2025 e fevereiro de 2026, autoridades de 13 países da região do Oriente Médio e Norte da África realizaram 201 prisões, incluindo Guedz, o principal desenvolvedor da plataforma. Sniper Dz, que também se rebatizou como Joker Dz e Storm Dz, era uma plataforma de phishing como serviço (PhaaS) que coletou mais de 45.000 registros de vítimas. A operação não apenas desativou o site da plataforma, mas também apreendeu hardware contendo softwares e scripts de phishing.

O grupo de cibercrime TA4922, associado à China, tem ampliado seu foco de ataque para organizações na Europa, especialmente no Reino Unido, Alemanha, Itália e África do Sul. De acordo com a empresa de segurança Proofpoint, o grupo é caracterizado por um ‘ritmo operacional rápido’ e um arsenal de malware em constante evolução, incluindo ferramentas conhecidas como ValleyRAT e Atlas RAT, além de novos malwares como RomulusLoader e SilentRunLoader. A motivação financeira do grupo é evidente, com o objetivo de obter acesso remoto a ambientes de vítimas para roubo de dados, fraudes e revenda de acessos. Recentemente, as campanhas de phishing têm utilizado iscas relacionadas a recursos humanos e negócios, além de tentativas de mover conversas para canais de comunicação fora do e-mail, como LINE e WhatsApp, para contornar controles de segurança. As campanhas observadas incluem ataques direcionados a organizações no Japão e no Reino Unido, utilizando técnicas como DLL side-loading para entregar malwares. A natureza global das operações do TA4922 destaca a necessidade de as organizações estarem atentas a ameaças emergentes, independentemente da localização geográfica.

Um grupo de cibercrime de língua chinesa, identificado como TA4922, está ampliando suas operações para a Europa, utilizando malware não documentado e a backdoor Atlas. Este grupo, que anteriormente focava em organizações na Ásia Oriental, agora está atacando entidades na Alemanha, Itália, Reino Unido e África do Sul. Os pesquisadores da Proofpoint destacam que TA4922 é motivado financeiramente e realiza campanhas de phishing localizadas, disfarçadas como comunicados de folha de pagamento, auditorias fiscais e notificações de conformidade governamental. O malware Atlas RAT, uma das principais ferramentas do grupo, permite reconhecimento do sistema, roubo de arquivos, captura de tela e gravação de áudio e vídeo. Além disso, o grupo utiliza loaders personalizados, como o RomulusLoader, que executa ferramentas de gerenciamento remoto. A atividade do TA4922 aumentou significativamente desde março, com uma diversidade operacional sem precedentes. A Proofpoint alerta que, embora o foco principal seja financeiro, as capacidades do malware podem ser utilizadas para vigilância, o que representa um risco adicional. O relatório inclui indicadores de comprometimento e infraestrutura de comando e controle utilizados nas operações do grupo.

Um cidadão romeno, Catalin Dragomir, foi condenado a 56 meses de prisão federal por invadir a rede de computadores do Departamento de Gestão de Emergências do Oregon e realizar ciberataques a diversas vítimas nos Estados Unidos. Dragomir, de 46 anos, se declarou culpado de roubo de identidade agravado e de obter informações de um computador protegido. As acusações resultaram em uma pena máxima de cinco anos por invasão, além de dois anos adicionais obrigatórios por roubo de identidade, uma multa de $250.000 e a perda de aproximadamente 23 Monero (XMR), avaliados em cerca de $8.500. Durante a invasão, ele acessou informações pessoais identificáveis, como nomes e números de passaporte, que foram vendidas a terceiros. O FBI e o Departamento de Justiça dos EUA coordenaram a prisão de Dragomir na Romênia, resultando em sua extradição para os Estados Unidos em janeiro de 2025. Este caso destaca a crescente preocupação com a segurança cibernética e os riscos associados a invasões de redes governamentais e corporativas.

Autoridades da Europa e América do Norte anunciaram a desarticulação de um serviço de rede privada virtual (VPN) chamado First VPN, utilizado por criminosos para ocultar a origem de ataques de ransomware, roubo de dados e ataques de negação de serviço. A operação, liderada pela França e Países Baixos, contou com a colaboração de diversas nações desde dezembro de 2021, incluindo o Brasil. O First VPN oferecia serviços voltados para atividades ilícitas, permitindo pagamentos anônimos e uma infraestrutura oculta para que os usuários pudessem esconder suas identidades durante atividades criminosas. Entre os dias 19 e 20 de maio, as autoridades realizaram ações simultâneas, como a apreensão de 33 servidores e a prisão do administrador do serviço na Ucrânia. O First VPN operava desde 2014 e tinha servidores de saída em 27 países, incluindo os Estados Unidos. Estima-se que pelo menos 25 grupos de ransomware, como o Avaddon, tenham utilizado a infraestrutura do First VPN para realizar suas atividades. O serviço aceitava pagamentos em criptomoedas e oferecia suporte técnico através de plataformas de mensagens criptografadas. Essa operação destaca a crescente colaboração internacional no combate ao cibercrime e a importância de medidas de segurança robustas para proteger dados sensíveis.

Jacob Butler, um canadense de 23 anos, foi preso em Ottawa sob um mandado de extradição, acusado de operar a botnet KimWolf, que infectou quase dois milhões de dispositivos em todo o mundo. Segundo documentos judiciais, Butler utilizava um modelo de ‘cibercrime como serviço’ para vender acesso a uma vasta rede de sistemas comprometidos, que incluíam desde câmeras de segurança até dispositivos de streaming. A KimWolf foi responsável por mais de 25 mil ataques DDoS, causando perdas financeiras superiores a um milhão de dólares para algumas vítimas. O ataque mais significativo registrado alcançou quase 30 terabits por segundo, tornando-se um dos maiores ataques DDoS já divulgados. Além disso, as autoridades dos EUA também desmantelaram 45 plataformas de DDoS-for-hire, interrompendo operações que colaboravam com a KimWolf. A prisão de Butler é parte de uma operação internacional que visa combater o cibercrime e proteger a infraestrutura digital.

O Departamento de Justiça dos EUA anunciou a prisão de Jacob Butler, um canadense de 23 anos, acusado de operar a botnet Kimwolf, uma variante do AISURU. Essa botnet foi projetada para infectar dispositivos normalmente protegidos por firewalls, como câmeras e molduras digitais, e utilizava um modelo de ‘cibercrime como serviço’ para vender acesso a esses dispositivos a outros criminosos. Os dispositivos infectados eram forçados a participar de ataques DDoS, que visavam servidores em todo o mundo, incluindo endereços IP da rede de informações do Departamento de Defesa dos EUA. Butler foi identificado através de registros de IP e mensagens em plataformas como Discord. A operação de desmantelamento da Kimwolf ocorreu em colaboração com autoridades canadenses e alemãs, resultando na interrupção de sua infraestrutura de comando e controle. A botnet é responsável por mais de 25.000 comandos de ataque e por alguns dos maiores ataques DDoS já registrados, com picos de tráfego de 31,4 Terabits por segundo. Butler enfrenta até 10 anos de prisão se condenado por intrusão de computador.

Durante a Operação Ramz, a INTERPOL prendeu mais de 200 indivíduos envolvidos em atividades de cibercrime no Oriente Médio e Norte da África. A operação, que abrangeu 13 países, resultou na identificação de 382 suspeitos e na apreensão de 53 servidores utilizados para phishing, malware e fraudes online, afetando pelo menos 3.867 vítimas confirmadas. A INTERPOL destacou que a operação visou neutralizar ameaças de phishing e malware, além de combater fraudes cibernéticas que causam danos significativos à região. Entre as ações realizadas, destaca-se a desarticulação de uma operação de golpe de investimento na Jordânia e o fechamento de uma plataforma de phishing na Argélia. A INTERPOL colaborou com empresas de cibersegurança, como Kaspersky e Group-IB, para rastrear a infraestrutura maliciosa. Esta é a terceira grande operação contra cibercrime realizada pela INTERPOL em 2023, refletindo um aumento na atividade criminosa online e a necessidade de ações coordenadas entre países e setores privados.

As autoridades alemãs encerraram uma versão relançada do mercado criminoso ‘Crimenetwork’, que gerou mais de 3,6 milhões de euros. O Crimenetwork, que operava desde 2012, era o maior mercado de cibercrime online na Alemanha, com cerca de 100.000 usuários registrados, permitindo a venda de serviços ilegais, substâncias e dados roubados. Em dezembro de 2024, o Ministério Público de Frankfurt, em conjunto com a Polícia Criminal Federal, desmantelou a operação, prendendo um dos administradores. No entanto, poucos dias após o fechamento, uma nova versão do Crimenetwork foi lançada, gerida por um novo operador. Recentemente, um homem de 35 anos foi preso em Mallorca, Espanha, sob um mandado de prisão europeu, acusado de administrar essa nova versão, que rapidamente atraiu 22.000 usuários e mais de 100 vendedores. A nova plataforma também gerou pelo menos 3,6 milhões de euros em receita. As autoridades apreenderam cerca de 194.000 euros em ativos ilícitos e coletaram dados de usuários e transações para investigações futuras. O diretor da Polícia Criminal Federal da Alemanha afirmou que o relançamento do Crimenetwork falhou e que o novo administrador enfrentará a justiça. O operador original já havia sido condenado a sete anos e 10 meses de prisão e a devolução de mais de 10 milhões de euros em lucros criminosos.

Um estudo da Comparitech analisou mais de 447 mil vazamentos de dados em quatro fóruns de cibercrime, revelando uma cadeia de fornecimento em cinco etapas para senhas vazadas. As etapas incluem a origem, onde as senhas são comprometidas, o atacado, onde o acesso é negociado, e o comércio, onde dados são trocados e vendidos. Os resultados mostraram que dados gratuitos são mais comuns do que pagos, e que administradores de fóruns frequentemente atuam como fornecedores principais. O fórum RAMP, por exemplo, destacou-se por vender acesso a redes corporativas, enquanto o BreachForums, mesmo após a prisão de seu administrador, continuou a crescer rapidamente. A pesquisa também revelou que vazamentos de dados de empresas indonésias e chinesas atraíram mais visualizações do que grandes empresas ocidentais. A análise sugere que, apesar de ações de remoção de fóruns, a recuperação é rápida, com novos usuários se inscrevendo em massa. O estudo destaca a importância de entender como as credenciais são utilizadas em campanhas de ataque, como o credential stuffing e o ransomware.

O Bluekit é um novo kit de phishing que oferece mais de 40 modelos voltados para serviços populares, incluindo e-mails e plataformas de criptomoedas. O diferencial do Bluekit é a presença de um painel de Assistente de IA que utiliza modelos como Llama, GPT-4.1, Claude, Gemini e DeepSeek para ajudar os cibercriminosos a elaborar rascunhos de campanhas de phishing. Apesar de estar em uma fase inicial, a análise da empresa de cibersegurança Varonis revelou que os rascunhos gerados ainda contêm conteúdo genérico e precisam de ajustes antes de serem utilizados. Além da funcionalidade de IA, o Bluekit integra a compra e registro de domínios, configuração de páginas de phishing e gerenciamento de campanhas em uma única interface, permitindo que os operadores tenham controle granular sobre o comportamento das páginas de phishing. Os dados roubados são exfiltrados via Telegram, e a plataforma permite monitorar as sessões das vítimas em tempo real, o que ajuda a refinar os ataques. O Bluekit representa uma evolução nas ferramentas de phishing, tornando-as mais acessíveis e eficientes para cibercriminosos de menor escalão, e está em desenvolvimento ativo, o que pode levar a uma adoção crescente.

Um recente post em um fórum de cibercrime revela um framework de segurança operacional (OPSEC) estruturado, desenvolvido por um ator de ameaças para operações de ‘carding’ em grande escala. O autor enfatiza que a maioria das interrupções em operações cibercriminosas não ocorre devido a detecções sofisticadas, mas sim a erros operacionais básicos, como reutilização de identidade e separação inadequada de infraestrutura. O framework é dividido em três camadas: a camada pública, que utiliza dispositivos limpos e IPs residenciais; a camada operacional, que é isolada e utiliza containers criptografados; e a camada de extração, focada na monetização com canais dedicados e sistemas isolados. O ator também destaca erros comuns que expõem operações, como a reutilização de identidades e a falta de medidas adequadas de evasão de impressão digital. Além disso, técnicas avançadas como gatilhos com atraso e randomização comportamental são sugeridas para aumentar a resiliência. Este framework oferece uma visão valiosa sobre como os cibercriminosos estruturam sua segurança operacional, o que pode ajudar defensores a entender melhor as táticas utilizadas por esses atores.

O RAMP (Russian Anonymous Marketplace) foi um fórum de cibercrime que operou de 2021 até sua apreensão pelo FBI em janeiro de 2026. Com mais de 7.700 usuários registrados, o fórum facilitava a venda de acessos a redes corporativas, malware e dados roubados, destacando-se pela sua acessibilidade tanto na rede Tor quanto na clearnet. O acesso a redes corporativas era o foco principal, com 333 threads oferecendo pontos de entrada, sendo o RDP (Remote Desktop Protocol) o tipo mais comum. Os Estados Unidos foram o principal alvo, representando 40% das listagens. O fórum também promovia programas de ransomware como serviço (RaaS), com divisões de lucros que chegaram a 90% para os afiliados. A atividade no fórum aumentou 348% em um ano, indicando uma resiliência após ações de law enforcement. O aumento das listagens de acesso VPN reflete uma mudança nas táticas de ataque, especialmente após a divulgação de vulnerabilidades críticas em produtos populares como Cisco e Fortinet. O RAMP exemplifica a crescente complexidade e a interconexão do cibercrime global, exigindo atenção redobrada das organizações, especialmente em setores críticos como governo, finanças e tecnologia.

Angelo Martino, um negociador de ransomware de 41 anos, se declarou culpado por realizar ataques de ransomware contra empresas nos Estados Unidos em 2023. Ele colaborou com o grupo criminoso BlackCat, fornecendo informações confidenciais sobre as posições de negociação de cinco vítimas, sem o conhecimento ou consentimento delas. Essas informações incluíam limites de apólices de seguro e estratégias internas, o que resultou em resgates mais altos. Martino foi compensado financeiramente por essas informações. Além disso, ele admitiu ter trabalhado com outros dois respondentes a incidentes para implantar o ransomware BlackCat em várias vítimas entre abril e novembro de 2023, extorquindo uma delas em aproximadamente 1,2 milhão de dólares em Bitcoin. As autoridades confiscam 10 milhões de dólares em ativos de Martino, incluindo criptomoedas e veículos. Ele enfrenta uma pena máxima de 20 anos de prisão e está programado para ser sentenciado em julho de 2026. O caso destaca a traição de confiança em um setor que deveria proteger as vítimas de ataques cibernéticos.

Uma operação internacional de aplicação da lei, chamada Operação PowerOFF, resultou na desativação de 53 domínios e na prisão de quatro indivíduos envolvidos em operações comerciais de negação de serviço distribuído (DDoS). Esses serviços eram utilizados por mais de 75.000 cibercriminosos. A ação, que contou com a participação de 21 países, incluindo o Brasil, teve como objetivo interromper o acesso a serviços de DDoS por contratação, desmantelar a infraestrutura técnica que os sustentava e acessar bancos de dados com mais de 3 milhões de contas de usuários criminosos. A Europol destacou que esses serviços permitem que até mesmo pessoas com pouco conhecimento técnico realizem ataques maliciosos em larga escala, causando danos significativos a empresas. A operação também incluiu o envio de avisos a usuários identificados e a emissão de 25 mandados de busca. A atividade de DDoS é considerada uma das tendências mais acessíveis e prolíficas do cibercrime, com motivações que vão desde extorsão até hacktivismo. A operação é um passo importante na luta contra a criminalidade cibernética, especialmente após a desativação de uma botnet chamada RapperBot em agosto de 2025, que havia realizado ataques em mais de 80 países desde 2021.

O Escritório do FBI em Atlanta, em colaboração com autoridades indonésias, desmantelou a plataforma global de phishing conhecida como W3LL, resultando na apreensão de infraestrutura e na prisão do suposto desenvolvedor. A W3LL Store era um kit de phishing e um mercado online que permitia a cibercriminosos roubar milhares de credenciais, resultando em tentativas de fraude que ultrapassaram 20 milhões de dólares. O kit, que era vendido por 500 dólares, possibilitava a criação de réplicas convincentes de portais de login corporativos, permitindo a captura de tokens de sessão de autenticação e a elisão de autenticações multifatoriais. Entre 2019 e 2023, o marketplace facilitou a venda de mais de 25 mil contas comprometidas. Mesmo após o fechamento da W3LL Store, as operações continuaram através de plataformas de mensagens criptografadas. O FBI destacou que a plataforma não se limitava ao phishing, mas funcionava como um serviço completo de cibercrime, com implicações sérias para a segurança cibernética global.

O FBI, em colaboração com a Polícia Nacional da Indonésia, desmantelou uma operação global de phishing que utilizava um kit chamado W3LL para roubar credenciais de contas de milhares de vítimas, resultando em tentativas de fraude que ultrapassam US$ 20 milhões. A operação levou à prisão do suposto desenvolvedor, identificado como G.L., e à apreensão de domínios-chave associados ao esquema. O kit W3LL permitia que criminosos criassem páginas de login falsas, enganando as vítimas para que entregassem suas credenciais. Vendido por cerca de US$ 500, o kit oferecia uma plataforma completa de cibercrime, incluindo ferramentas personalizadas de phishing e listas de e-mails. Desde 2017, o operador do W3LL Store, que atendia cerca de 500 cibercriminosos, facilitou a venda de mais de 25.000 contas comprometidas. O FBI destacou que a operação não apenas visava credenciais do Microsoft 365, mas também utilizava técnicas avançadas para contornar autenticações multifatoriais. Apesar do fechamento do W3LL Store em 2023, a operação continuou a operar por meio de plataformas de mensagens criptografadas, atingindo mais de 17.000 vítimas em um ano.

O Escritório Federal de Polícia Criminal da Alemanha (BKA) revelou as identidades de dois indivíduos-chave associados ao extinto grupo de ransomware REvil, também conhecido como Sodinokibi. Daniil Maksimovich Shchukin, de 31 anos, e Anatoly Sergeevitsch Kravchuk, de 43 anos, ambos russos, são acusados de liderar uma das maiores operações de ransomware global, que resultou em 130 ataques na Alemanha, com pagamentos de resgate totalizando €1,9 milhão. O grupo, que atacou empresas de renome como JBS e Kaseya, exigia grandes quantias em troca da descriptografia e não divulgação de dados. O BKA destacou que os danos financeiros totais ultrapassaram €35,4 milhões. O REvil, que evoluiu do GandCrab, ficou offline em julho de 2021, mas ressurgiu brevemente antes de encerrar suas operações definitivamente. A Rússia também anunciou a prisão de membros do grupo, indicando um esforço global para combater o cibercrime. Shchukin, que se autodenominava UNKN, afirmou ter estado no negócio de ransomware desde 2007, revelando um passado difícil que contrasta com sua atual riqueza.

Os ataques de phishing que abusam do fluxo de autorização de dispositivo do OAuth 2.0 aumentaram mais de 37 vezes em 2023. Nesse tipo de ataque, o criminoso envia um pedido de autorização de dispositivo a um provedor de serviços e recebe um código, que é enviado à vítima sob diversos pretextos. A vítima é enganada a inserir o código em uma página de login legítima, autorizando assim o dispositivo do atacante a acessar sua conta. Essa técnica, documentada pela primeira vez em 2020, tem sido amplamente adotada por cibercriminosos, incluindo hackers estatais e motivados financeiramente. A Push Security observou um aumento significativo na detecção de páginas de phishing relacionadas a esses ataques, com o kit EvilTokens se destacando como um dos principais responsáveis por essa tendência. Outros kits, como VENOM e SHAREFILE, também estão emergindo no mercado, oferecendo ferramentas para cibercriminosos de baixa habilidade. Para mitigar esses ataques, recomenda-se que os usuários desativem o fluxo de autorização de dispositivo quando não necessário e monitorem logs em busca de eventos de autenticação inesperados.

O cibercrime no Reino Unido aumentou quase 88% nos últimos anos, com os casos subindo de 774 mil para mais de 1,4 milhão. Em contraste, o efetivo policial dedicado a crimes cibernéticos cresceu apenas 31% no mesmo período, resultando em uma carga de trabalho significativamente maior para cada policial. Essa disparidade entre o aumento de incidentes e a capacidade de resposta das forças de segurança gera preocupações sobre a eficácia no combate a fraudes e crimes relacionados ao uso de computadores. Além disso, novas legislações estão sendo discutidas no Parlamento, como o Cyber Security and Resilience Bill, que visa fortalecer a resiliência cibernética nacional e introduzir penalidades mais severas para organizações que não cumprirem as novas normas. As propostas incluem a proibição de pagamentos de resgates em casos de ransomware, o que pode complicar ainda mais a situação para as empresas, que podem se ver pressionadas a tomar decisões difíceis em situações críticas. A combinação do aumento do cibercrime com regulamentações mais rigorosas impõe um ônus adicional às organizações, especialmente aquelas com capacidades de segurança interna limitadas.

As autoridades russas prenderam o suposto administrador do fórum de cibercrime LeakBase, que operava desde 2021, permitindo a troca de bancos de dados pessoais roubados. O detido, residente de Taganrog, teve equipamentos técnicos e outros itens confiscados em sua residência. O LeakBase abrigava centenas de milhões de contas de usuários, informações bancárias, nomes de usuários e senhas, além de documentos corporativos obtidos por meio de hacking. Com mais de 147 mil usuários registrados, o fórum era um dos maiores centros de comércio de dados roubados e ferramentas de cibercrime do mundo, segundo o Departamento de Justiça dos EUA. A operação de desmantelamento do LeakBase ocorreu no início de março de 2026, e a plataforma foi substituída por um banner de apreensão, informando que todo o conteúdo foi preservado para fins de evidência. O administrador, conhecido por vários apelidos online, foi vinculado a um indivíduo de 33 anos, e a investigação continua em andamento.

Uma operação conjunta entre a Europol e a polícia alemã resultou na desativação de 373 mil sites criminosos na dark web, todos operados por um homem de 35 anos na China. A investigação, conhecida como ‘Operação Alice’, começou no início de março e envolveu agências de 23 países. Os sites ofereciam uma variedade de serviços ilegais, incluindo conteúdos de abuso sexual infantil e fraudes financeiras, coletando criptomoedas de usuários. Estima-se que o suspeito tenha lucrado mais de € 345 mil com aproximadamente 10 mil clientes. Para dificultar o rastreamento, o criminoso criou milhares de sites temporários. Durante a operação, mais de 100 servidores e dispositivos eletrônicos foram apreendidos, e cerca de 440 usuários da plataforma ilegal foram identificados, com mais de 100 casos ainda sob investigação. Essa ação é considerada uma das maiores operações de combate ao crime cibernético na história recente.

Aleksei Olegovich Volkov, um cidadão russo de 26 anos, foi condenado a 6,75 anos de prisão nos Estados Unidos por sua participação em grupos de cibercrime, incluindo a gangue de ransomware Yanluowang. Ele facilitou ataques que resultaram em perdas reais superiores a 9 milhões de dólares e perdas pretendidas que ultrapassam 24 milhões de dólares. Volkov atuava como um ‘broker de acesso inicial’, obtendo acesso não autorizado a redes de empresas e vendendo esse acesso a outros criminosos. Os ataques geralmente envolviam a instalação de malware que criptografava os dados das vítimas, levando-as a pagar resgates em criptomoedas. Além de sua pena, Volkov concordou em pagar restituição às vítimas e a devolver ferramentas utilizadas nos crimes. O artigo também menciona a acusação de um terceiro negociador de ransomware ligado ao grupo BlackCat, que ajudou a extorquir pagamentos de pelo menos 10 vítimas, resultando na apreensão de quase 9,2 milhões de dólares em criptomoedas. A DigitalMint, onde o negociador trabalhava, repudiou as ações ilegais de seus ex-funcionários.

A operação ‘Project Compass’, coordenada pela Europol, resultou na prisão de 30 pessoas e na identificação de 179 suspeitos ligados ao coletivo de cibercrime conhecido como ‘The Com’, que tem como alvo crianças e adolescentes. Desde seu lançamento em janeiro de 2025, a operação envolveu agências de segurança de 28 países e conseguiu identificar 62 vítimas, protegendo diretamente quatro delas. ‘The Com’ é descrito como uma rede descentralizada de criminosos cibernéticos que recrutam jovens para atividades de extorsão, violência e produção de material de exploração sexual infantil (CSAM). A rede opera em diversas plataformas digitais, incluindo redes sociais e aplicativos de mensagens, e é dividida em subgrupos, como o ‘Offline Com’, que promove danos físicos, e o ‘Sextortion Com’, que coage menores a cometer crimes sexuais. Dois líderes do subgrupo ‘764’, que se especializa em aliciar jovens para a produção de conteúdo explícito, foram presos e enfrentam acusações graves. A Europol destaca a importância da cooperação internacional para enfrentar essas ameaças, que exploram a vulnerabilidade dos jovens em ambientes digitais.

Os infostealers, como o Atomic MacOS Stealer (AMOS), são mais do que simples malwares; eles são componentes fundamentais de uma economia de cibercrime que se concentra na coleta e comercialização de identidades digitais roubadas. Esses malwares atuam como motores de coleta de dados em larga escala, alimentando mercados subterrâneos onde credenciais, sessões e dados financeiros são comprados e vendidos, facilitando fraudes e invasões subsequentes. A eficácia dessas campanhas se deve à sua abordagem oportunista de engenharia social, que se adapta constantemente às tendências tecnológicas e explora plataformas confiáveis e softwares populares para enganar os usuários. O relatório de 2026 sobre a exposição de identidade de infostealers destaca o crescente domínio desses malwares na economia do cibercrime e seu impacto nas organizações. O AMOS, que apareceu pela primeira vez em maio de 2023, utiliza técnicas de disseminação sofisticadas, como campanhas de phishing e a exploração de assistentes pessoais de IA, para infectar usuários e roubar dados sensíveis. A pesquisa revela que a distribuição de AMOS se aproveita da popularidade de softwares como o OpenClaw, demonstrando como a engenharia social e a monetização de dados se entrelaçam para criar um ambiente de cibercrime altamente eficaz.

O aumento da sofisticação do cibercrime tem levado agências de segurança a intensificarem suas ações em nível global. Um novo estudo apresenta um conjunto de dados com 418 operações de aplicação da lei entre 2021 e 2025, coletadas pela Orange Cyberdefense. Os dados revelam que a extorsão, incluindo ransomware, é o crime mais abordado, seguido pela instalação de malware e invasões. As prisões representam 29% das ações, com um foco claro na responsabilização individual. Além disso, as operações de desmantelamento de plataformas ilícitas e a aplicação de sanções estão se tornando cada vez mais comuns, refletindo uma abordagem mais abrangente para combater o cibercrime. O estudo também destaca a liderança dos Estados Unidos, que participou de 45% das ações, enquanto países como Alemanha, Reino Unido e França também desempenham papéis significativos. A análise sugere que as motivações por trás do cibercrime estão se tornando mais complexas, misturando interesses financeiros, políticos e ideológicos, o que desafia as distinções tradicionais entre atividades criminosas e ideológicas.

Raheim Hamilton, co-criador do Empire Market, um dos maiores mercados da dark web, se declarou culpado de conspiração federal por tráfico de drogas, facilitando transações ilegais que totalizaram cerca de $430 milhões entre 2018 e 2020. O Empire Market, acessível apenas via navegadores TOR, foi descrito como um clone do AlphaBay, fechado em 2017. No auge, em agosto de 2020, o site contava com 1,68 milhão de usuários registrados, incluindo 360 mil compradores e mais de 5 mil vendedores. Embora o mercado também oferecesse credenciais de contas roubadas e ferramentas de hacking, as vendas de drogas representaram a maior parte das transações, totalizando quase $375 milhões. Hamilton, que operou o site com Thomas Pavey, admitiu ter projetado o Empire Market para ajudar os usuários a evitar a detecção pelas autoridades e lavar dinheiro, utilizando criptomoedas para garantir anonimato. Durante a investigação, agentes de segurança realizaram compras encobertas, adquirindo substâncias como heroína e metanfetamina. A Justiça dos EUA já apreendeu $75 milhões em criptomoedas e Hamilton concordou em entregar 1.230 bitcoins e propriedades no processo. Ele enfrenta uma pena mínima de 10 anos e máxima de prisão perpétua.

O FBI anunciou a apreensão do fórum de cibercrime RAMP, uma plataforma que promovia uma variedade de serviços de hacking e malware, incluindo operações de ransomware. O fórum, que operava tanto na rede Tor quanto na clearnet, exibia um aviso de apreensão que afirmava: ‘O Federal Bureau of Investigation apreendeu o RAMP’. Essa ação foi realizada em colaboração com o Escritório do Procurador dos Estados Unidos para o Sul da Flórida e a Seção de Crimes de Computador e Propriedade Intelectual do Departamento de Justiça. Com a apreensão, as autoridades agora têm acesso a dados significativos dos usuários do fórum, como endereços de e-mail, IPs e mensagens privadas, o que pode levar à identificação e prisão de cibercriminosos que não seguiram práticas adequadas de segurança operacional. O RAMP foi lançado em julho de 2021, após a proibição da promoção de ransomware em outros fóruns de hacking, e rapidamente se tornou um espaço para gangues de ransomware promoverem suas operações. O criador do fórum, conhecido como Orange, já havia sido identificado como Mikhail Matveev, um nacional russo que enfrenta acusações nos Estados Unidos por sua participação em várias operações de ransomware. A apreensão do RAMP representa um golpe significativo para o ecossistema de cibercrime, especialmente em um momento em que as autoridades estão intensificando a luta contra o ransomware.

Alan Bill, um cidadão eslovaco de 33 anos, se declarou culpado por ajudar a operar o Kingdom Market, um mercado na darknet que comercializava drogas, ferramentas de cibercrime, documentos de identidade falsificados e informações pessoais roubadas. A operação do Kingdom Market ocorreu de março de 2021 até dezembro de 2023, quando foi desmantelada pelas autoridades. A investigação começou em julho de 2022, quando agentes federais realizaram compras de substâncias como metanfetamina e fentanil, além de um passaporte falso. Em dezembro de 2023, o Federal Criminal Police Office da Alemanha apreendeu o domínio e a infraestrutura do mercado, que contava com 42.000 itens à venda e centenas de vendedores registrados. Bill foi preso no Aeroporto Internacional de Newark, onde foram encontrados dispositivos que o ligavam diretamente ao mercado. Ele admitiu ter um papel de administrador e moderador na comunidade do Reddit do Kingdom Market. Sob um acordo de confissão, Bill concordou em entregar os domínios do mercado e a perder criptomoedas de sua carteira digital. Ele enfrenta uma pena de cinco a 40 anos de prisão por conspiração para distribuir substâncias controladas.

Uma campanha maliciosa, chamada ‘Bizarre Bazaar’, está visando endpoints de Modelos de Linguagem de Grande Escala (LLMs) expostos, com o objetivo de comercializar acesso não autorizado à infraestrutura de IA. Pesquisadores da Pillar Security registraram mais de 35.000 sessões de ataque em 40 dias, revelando uma operação de cibercrime em larga escala. Os atacantes exploram configurações inadequadas, como endpoints não autenticados, para roubar recursos computacionais para mineração de criptomoedas, revender acesso a APIs em mercados darknet e exfiltrar dados de conversas. Os vetores de ataque comuns incluem configurações de LLM auto-hospedadas e APIs de IA expostas. A operação é atribuída a um ator específico que utiliza os pseudônimos “Hecker”, “Sakuya” e “LiveGamer101”. Além disso, a Pillar Security está monitorando uma campanha separada focada em reconhecimento de endpoints de Model Context Protocol (MCP), que pode oferecer oportunidades adicionais de movimento lateral. A campanha ‘Bizarre Bazaar’ continua ativa, e o serviço associado, SilverInc, ainda está operacional.

Um novo tipo de malware para dispositivos Android está utilizando inteligência artificial (IA) para contornar sistemas de segurança convencionais. De acordo com informações do Tech Radar, cibercriminosos estão empregando a plataforma de machine learning TensorFlow, desenvolvida pelo Google, para distribuir trojans através de anúncios maliciosos. A técnica envolve a criação de aplicativos falsos que são disseminados principalmente pela loja GetApps da Xiaomi, além de outros canais como redes sociais e Telegram.

A Microsoft anunciou, em 14 de janeiro de 2026, a ação judicial contra o RedVDS, um serviço de assinatura que facilitava cibercrimes. Este serviço permitia que hackers comprassem e vendessem recursos para realizar ataques digitais, cobrando US$ 24 por mês. Desde março de 2025, o RedVDS causou prejuízos de aproximadamente US$ 40 milhões apenas nos Estados Unidos, com um caso notável envolvendo a H2 Pharma, que perdeu mais de US$ 7,3 milhões. A operação conjunta da Microsoft, com apoio da Europol e autoridades policiais da Alemanha, resultou na apreensão de dois domínios que hospedavam o marketplace clandestino. O RedVDS era utilizado para fraudes, incluindo o desvio de pagamentos através do comprometimento de e-mails corporativos, onde hackers monitoravam contas para redirecionar fundos para contas fraudulentas. O impacto do RedVDS se estendeu a diversos setores, incluindo saúde, construção e serviços jurídicos.

A Europol anunciou a prisão de 34 indivíduos na Espanha, supostamente ligados à organização criminosa internacional Black Axe. A operação, realizada pela Polícia Nacional Espanhola em colaboração com a Polícia Criminal do Estado da Baviera e a Europol, resultou em 28 detenções em Sevilha, além de prisões em Madrid, Málaga e Barcelona. A Black Axe é conhecida por uma variedade de atividades criminosas, incluindo fraudes cibernéticas, tráfico de drogas, tráfico humano, sequestros e roubos armados. Estima-se que a rede criminosa tenha causado danos superiores a €5,93 milhões (cerca de $6,9 milhões) em fraudes. Durante a operação, as autoridades congelaram contas bancárias totalizando €119.352 ($138.935) e apreenderam €66.403 ($77.290) em dinheiro. A Black Axe, originada na Nigéria em 1977, é considerada uma das mais proeminentes organizações criminosas transnacionais da África Ocidental, com cerca de 30.000 membros registrados. Em operações anteriores, a INTERPOL já havia realizado 75 prisões relacionadas ao grupo, que é associado a uma série de fraudes cibernéticas, como golpes de e-mail empresarial, fraudes românticas e lavagem de dinheiro. A continuidade das ações contra a Black Axe demonstra a crescente preocupação com o crime organizado e suas implicações globais.

Recentes ataques cibernéticos, como os que afetaram a Marks & Spencer e a Jaguar Land Rover, revelaram que os suspeitos envolvidos são predominantemente jovens, com idades entre 17 e 20 anos. Essa tendência crescente de cibercrime juvenil pode ser atribuída à maior acessibilidade de ferramentas de ransomware, oferecidas por grupos de Ransomware-as-a-Service (RaaS), que permitem que indivíduos sem habilidades avançadas em hacking realizem ataques. Além disso, fatores como fama, frustração, finanças e a influência de comunidades de jogos online têm atraído jovens para o mundo do crime cibernético. A percepção negativa das carreiras em cibersegurança, consideradas monótonas em comparação com o glamour do hacking ilegal, também contribui para essa situação. Para combater essa tendência, é essencial que a indústria de cibersegurança mude sua imagem e busque atrair novos talentos, especialmente aqueles que não seguem os caminhos tradicionais de educação. Isso inclui a valorização de habilidades autodidatas e neurodiversas, que frequentemente são ignoradas nas contratações tradicionais. A indústria deve agir rapidamente para mostrar que existem oportunidades legítimas e recompensadoras para esses jovens talentos, antes que eles se tornem parte do problema.

A gangue de cibercrime conhecida como Black Cat está por trás de uma campanha de envenenamento de SEO que utiliza sites fraudulentos para enganar usuários a baixarem um backdoor capaz de roubar dados sensíveis. Segundo um relatório do CNCERT/CC e da ThreatBook, a estratégia envolve posicionar sites falsos no topo dos resultados de busca em motores como o Bing, visando usuários que procuram por softwares populares como Google Chrome e Notepad++. Ao acessar essas páginas de phishing, os usuários são levados a baixar pacotes de instalação que contêm programas maliciosos. Uma vez instalado, o malware cria uma porta dos fundos no sistema, permitindo que os atacantes acessem informações privadas. A gangue está ativa desde 2022 e, em 2023, teria roubado cerca de $160.000 em criptomoedas. Recentemente, cerca de 277.800 dispositivos foram comprometidos na China, com um pico de 62.167 máquinas comprometidas em um único dia. Para se proteger, os usuários devem evitar clicar em links de fontes desconhecidas e utilizar apenas fontes confiáveis para downloads.

O Brasil se consolidou como um dos principais alvos globais de cibercrime, especialmente devido à sua relevância econômica e à rápida adoção de tecnologias financeiras, como fintechs e criptomoedas. Sandra Joyce, vice-presidente global de Inteligência de Ameaças do Google Cloud, destacou em entrevista que o país atrai a atenção de organizações criminosas, tornando-se um foco para ataques cibernéticos profissionais. A evolução das técnicas de ataque, impulsionada pela inteligência artificial, tem facilitado a criação de conteúdos falsos, como deepfakes e e-mails de phishing mais sofisticados. Além disso, a Coreia do Norte tem utilizado o cibercrime como uma forma de financiar seus programas de armas nucleares, infiltrando profissionais de TI em empresas ocidentais, incluindo no Brasil, através de identidades falsas. Para mitigar esses riscos, o Google implementou barreiras de segurança em seus sistemas e enfatiza a importância do pensamento crítico dos usuários. A situação exige uma atenção redobrada por parte das empresas e dos profissionais de segurança da informação no Brasil.

Uma operação coordenada pela INTERPOL, chamada Operação Sentinel, resultou na recuperação de US$ 3 milhões e na prisão de 574 suspeitos em 19 países africanos, entre 27 de outubro e 27 de novembro de 2025. A ação focou em crimes cibernéticos como comprometimento de e-mails empresariais (BEC), extorsão digital e ransomware. Entre os países participantes estão Gana, Nigéria, África do Sul e Uganda. Durante a operação, mais de 6.000 links maliciosos foram removidos e seis variantes de ransomware foram descriptografadas. Um ataque específico a uma instituição financeira em Gana criptografou 100 terabytes de dados e resultou em um roubo de cerca de US$ 120.000. Além disso, uma rede de fraudes cibernéticas que operava entre Gana e Nigéria foi desmantelada, resultando em 10 prisões e a apreensão de 100 dispositivos digitais. Neal Jetton, diretor de cibercrime da INTERPOL, destacou que a sofisticação dos ataques cibernéticos na África está aumentando, especialmente contra setores críticos como finanças e energia. A Operação Sentinel faz parte da Iniciativa Africana Conjunta de Combate ao Cibercrime (AFJOC), que visa fortalecer as capacidades das agências de segurança na região.

As autoridades da Nigéria anunciaram a prisão de três suspeitos de fraudes na internet, envolvidos em ataques de phishing que visavam grandes corporações, incluindo o desenvolvedor do esquema RaccoonO365, um serviço de phishing como serviço (PhaaS). O principal suspeito, Okitipi Samuel, também conhecido como Moses Felix, é acusado de operar um canal no Telegram onde vendia links de phishing em troca de criptomoedas e hospedava portais de login fraudulentos utilizando credenciais de e-mail roubadas. A investigação, realizada em colaboração com a Microsoft e o FBI, resultou na apreensão de laptops e dispositivos móveis relacionados à operação. O RaccoonO365 é um grupo motivado financeiramente que permite a coleta de credenciais ao criar páginas de phishing que imitam os logins do Microsoft 365. Desde julho de 2024, estima-se que o esquema tenha levado ao roubo de pelo menos 5.000 credenciais de usuários em 94 países. A Microsoft, em uma ação civil, processou indivíduos envolvidos na operação, destacando o impacto financeiro e as violações de propriedade intelectual resultantes desses crimes cibernéticos. Além disso, a Google também está processando operadores de outro serviço PhaaS, o Darcula, que tem causado uma onda de smishing nos EUA.

Pesquisadores de segurança da Malanta.ai descobriram uma vasta infraestrutura de cibercrime na Indonésia, que operava há mais de 14 anos, com características que lembram operações patrocinadas por estados. A rede controlava mais de 320 mil domínios, incluindo 90 mil subdomínios hackeados, e estava envolvida na distribuição de milhares de aplicativos Android maliciosos. Esses aplicativos, disfarçados como plataformas de jogos, permitiam acesso total aos dispositivos comprometidos. A operação resultou no roubo de mais de 50 mil credenciais de jogos e levantou suspeitas sobre a possível ligação com atores estatais, dada a sofisticação e o financiamento da infraestrutura. Os pesquisadores alertam que a utilização de serviços como AWS e Firebase para comando e controle (C2) pode indicar um nível de organização além do que se espera de criminosos comuns.

O Departamento de Justiça dos EUA anunciou que cinco indivíduos se declararam culpados por ajudar a Coreia do Norte em esquemas de geração de receita ilícita, violando sanções internacionais. Os acusados, entre 24 e 34 anos, facilitaram fraudes envolvendo trabalhadores de tecnologia da informação (TI) que se apresentavam como cidadãos americanos para obter empregos em empresas dos EUA. Entre as ações fraudulentas, destacam-se a utilização de identidades falsas, a instalação de software de acesso remoto em laptops e a realização de testes de drogas em nome dos trabalhadores. Um dos réus, Oleksandr Didenko, também foi acusado de roubo de identidade e operou um site para vender identidades roubadas. O esquema resultou em mais de 2,2 milhões de dólares em receita para o regime norte-coreano e comprometeu a identidade de mais de 18 cidadãos americanos. Além disso, o DoJ está buscando confiscar mais de 15 milhões de dólares em criptomoedas relacionadas a atividades de hackers associados à Coreia do Norte, que realizaram diversos roubos em plataformas de moeda virtual. Essas ações refletem os esforços contínuos do governo dos EUA para combater as operações de TI e hacking da Coreia do Norte, que têm sido utilizadas para financiar seu programa nuclear.

Entre os dias 10 e 13 de novembro de 2025, uma operação coordenada liderada pela Europol e Eurojust resultou no desmantelamento de famílias de malware, incluindo Rhadamanthys Stealer, Venom RAT e a botnet Elysium. Esta ação faz parte da Operação Endgame, que visa combater infraestruturas criminosas e ransomware em todo o mundo. Durante a operação, mais de 1.025 servidores foram derrubados e 20 domínios foram apreendidos. A Europol informou que a infraestrutura desmantelada continha centenas de milhares de computadores infectados, com milhões de credenciais roubadas. Muitos dos afetados não tinham conhecimento da infecção em seus sistemas. Além disso, o principal suspeito do Venom RAT foi preso na Grécia e tinha acesso a cerca de 100.000 carteiras de criptomoedas, representando um potencial valor de milhões de euros. A análise da Check Point revelou que a versão mais recente do Rhadamanthys agora coleta impressões digitais de dispositivos e navegadores, utilizando mecanismos para evitar detecção. A operação contou com a colaboração de agências de segurança de vários países, incluindo Estados Unidos, Austrália e diversos países europeus.

O Google entrou com uma ação civil no Tribunal Distrital dos EUA para o Sul de Nova York contra hackers baseados na China, responsáveis por uma plataforma de Phishing-as-a-Service (PhaaS) chamada Lighthouse. Essa plataforma já afetou mais de 1 milhão de usuários em 120 países, utilizando ataques de phishing via SMS que se disfarçam como mensagens de marcas confiáveis, como E-ZPass e USPS, para roubar informações financeiras. A operação, que gerou mais de um bilhão de dólares em três anos, utiliza templates fraudulentos que imitam a marca do Google, enganando os usuários. A empresa busca desmantelar a infraestrutura criminosa sob a Lei RICO e outras legislações. A plataforma Lighthouse, junto com outras como Darcula e Lucid, faz parte de um ecossistema de cibercrime interconectado que envia milhares de mensagens maliciosas, visando roubar dados sensíveis. Estima-se que entre 12,7 milhões e 115 milhões de cartões de pagamento tenham sido comprometidos nos EUA entre julho de 2023 e outubro de 2024. A crescente sofisticação dos ataques, incluindo o uso de ferramentas como Ghost Tap, representa uma ameaça significativa para a segurança digital.

Nos últimos dez anos, a comunidade de cibercriminosos de língua inglesa conhecida como “The COM” evoluiu de um nicho focado na troca de nomes de usuário raros em redes sociais para uma economia subterrânea ágil que orquestra uma ampla gama de ataques globais. Com a queda de fóruns de alto perfil, como o RaidForums, a COM se adaptou, combinando habilidades de manipulação social com a expertise técnica de hackers focados em vazamentos de dados. As táticas incluem engenharia social, phishing, SIM swapping e recrutamento de insiders, com grupos como Lapsus$, ShinyHunters e Scattered Spider exemplificando essa nova abordagem. A COM opera como uma cadeia de suprimentos profissionalizada, onde papéis especializados colaboram em um modelo modular, facilitando a escalabilidade e inovação. A colaboração entre especialistas de língua inglesa e sindicatos de cibercrime de língua russa intensifica a ameaça, tornando a defesa mais desafiadora. Para se proteger, as organizações devem adotar defesas centradas na identidade, autenticação multifatorial resistente a phishing e monitoramento contínuo de ameaças internas, reconhecendo que a cibercriminalidade é tanto um negócio quanto uma performance, visando não apenas sistemas, mas também pessoas.

Um novo consórcio de cibercriminosos, denominado Scattered LAPSUS$ Hunters (SLH), surgiu a partir da fusão de três grupos notórios: Scattered Spider, ShinyHunters e LAPSUS$. De acordo com a equipe de inteligência de ameaças da Trustwave SpiderLabs, o SLH é descrito como uma “aliança federada” que oferece Extorsão como Serviço (EaaS), herdando características operacionais do ecossistema cibercriminoso conhecido como The Com. O grupo utiliza o Telegram como plataforma de coordenação e identidade pública, mesclando motivação financeira com um estilo hacktivista. Desde sua primeira aparição em agosto de 2025, o SLH tem demonstrado uma notável capacidade de adaptação, reestabelecendo sua presença mesmo após frequentes desmantelamentos. O grupo promove seu modelo EaaS, convidando afiliados a “alugar” sua marca para campanhas de extorsão. Além disso, o SLH está desenvolvendo um ransomware chamado “Sh1nySp1d3r”. As táticas do grupo incluem engenharia social avançada e exploração de vulnerabilidades, como CVE-2025-31324 e CVE-2025-61882, indicando uma possível colaboração com outros operadores de ransomware. A análise sugere que o SLH representa uma reestruturação estratégica de operadores veteranos, sinalizando um novo modelo de ciberextorsão para 2026.

Uma operação coordenada de aplicação da lei resultou na prisão de nove indivíduos envolvidos em uma rede de lavagem de dinheiro com criptomoedas, que enganou vítimas em um total de €600 milhões (aproximadamente $688 milhões). A ação, realizada entre 27 e 29 de outubro, abrangeu países como Chipre, Espanha e Alemanha, com o apoio de agências de outros países europeus, incluindo França e Bélgica. Os suspeitos foram acusados de criar plataformas de investimento em criptomoedas fraudulentas que prometiam altos retornos, atraindo vítimas por meio de publicidade em redes sociais, chamadas frias e depoimentos falsos. Após os investimentos, os ativos eram lavados utilizando tecnologia de blockchain. A investigação começou após reclamações de vítimas que não conseguiam recuperar seus investimentos, levando às prisões e apreensões de €800.000 em contas bancárias, €415.000 em criptomoedas e €300.000 em dinheiro. A Europol destacou que o uso criminoso de criptomoedas está se tornando cada vez mais profissional e organizado, exigindo uma resposta colaborativa e eficaz das autoridades.