Engenharia Social

Desde dezembro de 2025, atacantes têm explorado uma vulnerabilidade zero-day desconhecida no Adobe Reader, utilizando documentos PDF maliciosos. A descoberta, feita por Haifei Li da EXPMON, revela um exploit sofisticado que se apresenta como um arquivo chamado ‘Invoice540.pdf’, que foi inicialmente detectado na plataforma VirusTotal em novembro de 2025. Os documentos PDF contêm elementos de engenharia social, atraindo usuários a abri-los. Ao serem executados, eles acionam um JavaScript ofuscado que coleta dados sensíveis e pode receber cargas adicionais. Os pesquisadores observaram que os arquivos estão em russo e fazem referência a eventos atuais da indústria de petróleo e gás na Rússia. A vulnerabilidade permite a execução de APIs privilegiadas do Acrobat e já foi confirmada na versão mais recente do Adobe Reader. O exploit pode exfiltrar informações para um servidor remoto e executar código adicional, aumentando o risco de coleta de dados e execução remota de código. A situação exige atenção da comunidade de segurança, pois a exploração dessa vulnerabilidade pode levar a consequências graves.

O grupo de ameaças conhecido como UNC6783 está atacando provedores de terceirização de processos de negócios (BPO) para obter acesso a empresas de alto valor em diversos setores. Segundo o Google Threat Intelligence Group, essa tática tem sido utilizada para exfiltrar dados sensíveis e extorquir as vítimas. O analista principal da GTIG, Austin Larsen, destaca que o grupo geralmente utiliza engenharia social e campanhas de phishing para comprometer os BPOs. Além disso, há relatos de que os hackers têm contatado diretamente funcionários de suporte e helpdesk das organizações-alvo para obter acesso direto. O grupo pode estar vinculado a um ator conhecido como Raccoon, que já atacou vários BPOs. As táticas incluem direcionar funcionários de suporte a páginas de login falsas do Okta, que imitam os domínios das empresas-alvo. O kit de phishing utilizado pode roubar conteúdos da área de transferência, permitindo que os atacantes contornem a autenticação multifator (MFA). Após o roubo de dados, os atacantes exigem pagamentos através de endereços ProtonMail. O Google recomenda a implementação de chaves de segurança FIDO2 para MFA, monitoramento de chats ao vivo e auditorias regulares das inscrições de dispositivos MFA como medidas de defesa contra esses ataques.

Uma campanha persistente de malware conhecida como Contagious Interview, associada à Coreia do Norte, está se expandindo ao publicar pacotes maliciosos que visam os ecossistemas Go, Rust e PHP. Os pacotes maliciosos, que se disfarçam como ferramentas legítimas para desenvolvedores, atuam como carregadores de malware, permitindo que a campanha realize operações coordenadas de cadeia de suprimentos. Os pacotes identificados incluem nomes como ‘dev-log-core’ e ’logutilkit’, que, uma vez instalados, buscam carregar cargas úteis específicas para cada plataforma, com capacidades de roubo de informações e acesso remoto. Um dos pacotes, ’license-utils-kit’, apresenta um implante completo que pode executar comandos de shell, registrar teclas, roubar dados de navegadores e gerenciar acesso remoto. A descoberta de mais de 1.700 pacotes maliciosos desde janeiro de 2025 indica que a campanha é bem financiada e persistentemente projetada para infiltrar ambientes de desenvolvedores. Além disso, a Microsoft alertou sobre a evolução das táticas de grupos de hackers norte-coreanos, que utilizam engenharia social para comprometer contas e distribuir malware através de links falsos de reuniões online. Essa situação representa um risco significativo para a segurança de desenvolvedores e empresas que utilizam essas tecnologias.

Uma nova campanha de phishing direcionada a usuários do LinkedIn tem utilizado notificações falsas para roubar credenciais de login e dados profissionais. Segundo o Cofense Phishing Defense Center, os criminosos criam e-mails que imitam alertas legítimos da plataforma, enganando até mesmo os usuários mais cautelosos. Esses e-mails, que apresentam um design semelhante ao do LinkedIn, informam sobre mensagens urgentes de representantes de empresas renomadas, levando as vítimas a clicar em links maliciosos. Ao clicar, o usuário é redirecionado para uma página de login fraudulenta, onde suas informações de acesso são capturadas. O domínio utilizado pelos golpistas, que se assemelha ao verdadeiro, é uma tática para enganar os desavisados. A campanha destaca a importância da conscientização sobre segurança digital, especialmente em plataformas profissionais, onde informações sensíveis são frequentemente compartilhadas.

Um grupo de hackers associado ao Irã, conhecido como Charming Kitten, tem utilizado táticas de engenharia social para comprometer usuários de plataformas da Apple e Microsoft. Em vez de explorar vulnerabilidades técnicas, os atacantes criam identidades falsas e estabelecem relações de confiança com as vítimas, levando-as a revelar credenciais ou instalar softwares maliciosos. Essa abordagem, reminiscentes das estratégias de espionagem da Guerra Fria, permite que os hackers operem de forma eficaz em um ambiente digital, afetando usuários em todo o mundo.

Um ataque cibernético ocorrido em 1º de abril de 2026 resultou no roubo de US$ 285 milhões de uma exchange descentralizada baseada em Solana, revelando uma operação de engenharia social meticulosamente planejada pela Coreia do Norte. O grupo de hackers, conhecido como UNC4736, é associado a diversas campanhas de roubo no setor de criptomoedas desde 2018. A análise da Drift, a exchange atacada, indica que o ataque foi o resultado de meses de interação com colaboradores da empresa, onde os atacantes, disfarçados como uma empresa de trading, estabeleceram relações de confiança. Durante esse período, eles conseguiram integrar um Ecosystem Vault na plataforma, o que facilitou o acesso a ativos criptográficos. O ataque pode ter sido realizado através de dois vetores principais: a clonagem de um repositório de código malicioso e o download de um aplicativo de carteira comprometido. A investigação também destaca a evolução do ecossistema de malware da Coreia do Norte, que se tornou mais fragmentado e resistente a atribuições, dificultando a identificação de suas operações. Este incidente ressalta a necessidade de vigilância constante e medidas de segurança robustas no setor de fintech e criptomoedas.

Os mantenedores do popular cliente HTTP Axios relataram um ataque de engenharia social que comprometeu a conta de um desenvolvedor, resultando na publicação de versões maliciosas do Axios no registro de pacotes npm. Durante um período de aproximadamente três horas, duas versões (1.14.1 e 0.30.4) injetaram uma dependência chamada plain-crypto-js, que instalou um trojan de acesso remoto (RAT) em sistemas macOS, Windows e Linux. O ataque foi atribuído ao grupo de hackers norte-coreano UNC1069, que utiliza táticas de engenharia social para enganar desenvolvedores. O principal alvo, Jason Saayman, foi induzido a instalar um malware disfarçado de atualização do Microsoft Teams após ser convidado para um espaço de trabalho Slack falso. Os mantenedores do Axios já tomaram medidas para mitigar o incidente, incluindo a redefinição de credenciais e a limpeza de sistemas afetados. Este ataque destaca a crescente preocupação com a segurança da cadeia de suprimentos, especialmente em projetos de código aberto amplamente utilizados.

O mantenedor do pacote Axios, Jason Saayman, confirmou que o comprometimento da cadeia de suprimentos foi resultado de uma campanha de engenharia social altamente direcionada, orquestrada por atores de ameaças da Coreia do Norte, identificados como UNC1069. Os atacantes se apresentaram como o fundador de uma empresa legítima, criando um espaço no Slack que parecia autêntico, onde interagiram com Saayman. Durante uma reunião falsa no Microsoft Teams, ele recebeu uma mensagem de erro que o levou a baixar um trojan de acesso remoto. Com isso, os atacantes conseguiram roubar as credenciais da conta npm de Saayman e publicaram versões comprometidas do pacote Axios, que é amplamente utilizado na comunidade JavaScript, com quase 100 milhões de downloads semanais. O ataque destaca a vulnerabilidade dos mantenedores de projetos de código aberto e o potencial de impacto em larga escala, afetando usuários downstream. Saayman implementou medidas preventivas, como redefinir dispositivos e credenciais e adotar práticas recomendadas para publicações. O incidente ressalta a necessidade de vigilância constante em um ambiente de desenvolvimento cada vez mais complexo.

No dia 1º de abril de 2026, a exchange descentralizada Drift, baseada em Solana, sofreu um ataque que resultou no roubo de aproximadamente $285 milhões. O ataque foi realizado por um ator malicioso que obteve acesso não autorizado ao Drift Protocol, utilizando uma técnica inovadora envolvendo ‘durable nonces’. Essa abordagem permitiu a pré-assinatura de transações, atrasando sua execução e facilitando a apropriação das permissões administrativas do Conselho de Segurança da plataforma. Importante ressaltar que o ataque não explorou vulnerabilidades nos contratos inteligentes da Drift, nem houve comprometimento de frases-semente. Em vez disso, os atacantes manipularam aprovações de transações, possivelmente através de engenharia social, para executar uma transferência administrativa maliciosa rapidamente. O incidente, que começou a ser preparado em 23 de março, está sendo investigado em colaboração com várias empresas de segurança e autoridades. Relatórios indicam que o ataque pode estar ligado a grupos de hackers da Coreia do Norte, que têm um histórico de roubo de criptomoedas para financiar programas de armas. A evolução das técnicas de engenharia social, aliada ao uso crescente de inteligência artificial, amplia o escopo das ameaças, tornando desenvolvedores e colaboradores de projetos alvos potenciais.

O WhatsApp, plataforma de mensagens pertencente ao Meta, notificou cerca de 200 usuários que foram enganados a instalar uma versão falsa de seu aplicativo para iOS, que estava infectada com spyware. A maioria dos alvos está localizada na Itália, onde os atacantes utilizaram táticas de engenharia social para induzir os usuários a baixar o software malicioso que imitava o WhatsApp. Todos os usuários afetados foram desconectados e orientados a desinstalar os aplicativos comprometidos, além de baixar a versão oficial do WhatsApp. A empresa também está tomando medidas legais contra a Asigint, uma subsidiária italiana da empresa de spyware SIO, que supostamente criou a versão falsa do aplicativo. Este incidente segue uma série de alertas anteriores do WhatsApp sobre spyware, incluindo um caso em que 90 usuários foram notificados sobre a ameaça de um spyware chamado Graphite. A crescente utilização de ferramentas de vigilância na Itália e na Grécia levanta preocupações sobre a privacidade e a segurança dos dados dos cidadãos, especialmente em um contexto onde o uso de tecnologia de espionagem por governos está sob escrutínio.

O relatório anual de ameaças de 2026 da Blackpoint Cyber revela uma mudança significativa no comportamento de atacantes, que agora utilizam credenciais válidas e ferramentas legítimas para realizar intrusões em organizações. O estudo, baseado em milhares de investigações de segurança, destaca que 32,8% dos incidentes analisados envolveram abuso de VPN SSL, onde os atacantes se autenticaram com credenciais comprometidas, permitindo acesso a redes internas sem acionar alarmes. Além disso, 30,3% dos casos envolveram o uso indevido de ferramentas de Monitoramento e Gerenciamento Remoto (RMM), como o ScreenConnect, que se misturaram com atividades normais de TI. O relatório também aponta que campanhas de engenharia social, como as que utilizam CAPTCHAs falsos, foram responsáveis por 57,5% dos incidentes, mostrando que a interação do usuário é um fator crítico. Apesar da implementação de autenticação multifator (MFA) em muitos ambientes de nuvem, ataques de phishing ainda resultaram em compromissos de contas, com 16% dos casos documentados. O relatório sugere que as equipes de segurança tratem o acesso remoto como uma atividade de alto risco e mantenham um inventário rigoroso das ferramentas de RMM utilizadas.

Uma nova campanha de phishing está atacando usuários de língua espanhola em organizações na América Latina e na Europa, visando a entrega de trojans bancários do Windows, como o Casbaneiro, através de um malware chamado Horabot. A atividade foi atribuída a um grupo de cibercrime brasileiro conhecido como Augmented Marauder e Water Saci, que foi documentado pela Trend Micro em outubro de 2025.

Os ataques começam com e-mails de phishing que usam mensagens de convocação judicial para enganar os destinatários a abrir um anexo PDF protegido por senha. Ao clicar em um link embutido no documento, a vítima é redirecionada para um link malicioso que inicia o download automático de um arquivo ZIP, levando à execução de scripts VBS que realizam verificações de ambiente e anti-análise. Esses scripts, então, baixam cargas úteis adicionais que incluem loaders baseados em AutoIt, que extraem e executam arquivos criptografados.

A Microsoft alertou sobre uma nova campanha de cibersegurança que utiliza mensagens do WhatsApp para disseminar arquivos maliciosos em formato de Visual Basic Script (VBS). Iniciada no final de fevereiro de 2026, essa atividade emprega uma cadeia de infecção em múltiplas etapas, visando estabelecer persistência e permitir acesso remoto aos sistemas das vítimas. Os atacantes distribuem arquivos VBS que, ao serem executados, criam pastas ocultas e instalam versões renomeadas de utilitários legítimos do Windows, como ‘curl.exe’ e ‘bitsadmin.exe’, camuflando suas ações. Após obter acesso inicial, os invasores tentam escalar privilégios e instalar pacotes MSI maliciosos, utilizando serviços de nuvem confiáveis como AWS e Tencent Cloud para hospedar os arquivos maliciosos. A campanha combina engenharia social e técnicas de stealth, tornando-se uma ameaça significativa, pois permite que os atacantes manipulem configurações de controle de conta de usuário (UAC) e mantenham controle sobre os sistemas comprometidos. A utilização de ferramentas legítimas e plataformas confiáveis aumenta a eficácia dos ataques, destacando a necessidade de vigilância constante e medidas de proteção adequadas.

Uma nova campanha de cibersegurança está utilizando a tática de engenharia social conhecida como ClickFix para distribuir um malware loader inédito chamado DeepLoad. De acordo com pesquisadores da ReliaQuest, o DeepLoad emprega técnicas avançadas de ofuscação assistida por inteligência artificial (IA) e injeção de processos para evitar detecções. O ataque começa com um engodo que induz os usuários a executar comandos do PowerShell, que, por sua vez, baixa e executa um loader ofuscado. O malware se disfarça como um processo legítimo do Windows, ocultando suas atividades e desabilitando o histórico de comandos do PowerShell para evitar monitoramento. Além disso, o DeepLoad é capaz de roubar credenciais de navegadores e se propaga através de dispositivos de mídia removível. Ele também utiliza o Windows Management Instrumentation (WMI) para reinfectar sistemas sem interação do usuário. Essa nova ameaça representa um risco significativo, pois combina várias técnicas de evasão e pode comprometer a segurança de sistemas em larga escala.

A Apple lançou uma nova funcionalidade de segurança na versão 26.4 do macOS Tahoe, que visa proteger os usuários contra ataques do tipo ClickFix. Essa técnica de engenharia social engana os usuários a colar comandos maliciosos no Terminal, acreditando que estão resolvendo um problema. A nova mecânica do sistema impede a execução imediata de comandos potencialmente prejudiciais, exibindo um alerta que informa sobre os riscos associados. O alerta é acionado quando comandos são copiados de navegadores, como o Safari, e colados no Terminal. Embora os usuários possam optar por ignorar o aviso, a Apple recomenda cautela, especialmente se a origem do comando for desconhecida. A funcionalidade foi relatada por usuários desde a versão candidata do sistema, mas não foi mencionada nas notas de lançamento oficiais. A Apple ainda não divulgou documentação de suporte sobre esse novo sistema de alertas, e a eficácia do mecanismo em identificar comandos arriscados permanece incerta. Especialistas em segurança recomendam que usuários de qualquer sistema operacional evitem executar comandos encontrados online sem total compreensão de suas funções.

O aumento de sites falsos de viagens, especialmente durante períodos de alta demanda, representa um risco significativo para os consumidores. Cibercriminosos utilizam táticas de engenharia social para criar páginas que imitam companhias aéreas e agências de viagens, atraindo vítimas com ofertas de preços extremamente baixos. Para evitar fraudes, é essencial que os usuários verifiquem cuidadosamente o domínio do site, buscando por erros de digitação e variações suspeitas. Além disso, é importante prestar atenção a textos genéricos, falta de informações claras sobre atendimento e inconsistências nos preços. Os anúncios patrocinados podem ser uma armadilha, pois sites fraudulentos frequentemente aparecem no topo das buscas. Antes de realizar um pagamento via Pix, os consumidores devem confirmar se o nome do recebedor corresponde à empresa e verificar a reputação do site em plataformas como o Reclame Aqui. Caso uma fraude seja identificada, é crucial agir rapidamente, contatando o banco e registrando um boletim de ocorrência. O artigo destaca a importância da cautela e da verificação de informações para evitar cair em golpes.

O fenômeno conhecido como MFA fatigue, ou fadiga de autenticação multifatorial, refere-se à exploração do cansaço dos usuários diante de repetidas solicitações de autenticação em seus dispositivos. Os golpistas utilizam essa técnica de engenharia social para induzir os usuários a aprovar acessos indevidos, especialmente em momentos de distração. A autenticação de dois fatores (2FA) é uma medida de segurança importante, pois, mesmo que a senha de um usuário seja comprometida, o acesso ainda requer um código enviado ao celular. No entanto, os hackers têm desenvolvido métodos para contornar essa proteção, como o bombardeio de solicitações de autenticação e a criação de mensagens falsas de suporte. Isso pode levar os usuários a aprovar acessos fraudulentos sem perceber. Para se proteger, é essencial que os usuários estejam sempre atentos a notificações inesperadas e nunca compartilhem seus códigos de autenticação. A conscientização sobre esses ataques é crucial, pois a segurança não depende apenas da tecnologia, mas também do comportamento do usuário.

O phishing por voz, conhecido como vishing, está se tornando uma tática cada vez mais comum entre os criminosos digitais. De acordo com o relatório M-Trends da Mandiant, subsidiária de cibersegurança do Google, o vishing foi responsável por 11% dos ataques digitais em 2025, tornando-se o segundo método mais utilizado para obter acesso ilegal a sistemas. Em contraste, os golpes por e-mail, que tradicionalmente dominaram o cenário de phishing, caíram para apenas 6% dos casos.

Um novo ataque de malvertising, focado na temporada de declaração de impostos nos Estados Unidos, está sendo utilizado por hackers para disseminar ransomware. Especialistas da Huntress alertam que, com a proximidade do prazo de 15 de abril, muitos usuários apressam-se em buscar formulários fiscais, o que os torna vulneráveis a sites falsos promovidos por anúncios do Google. Esses sites maliciosos instalam o ScreenConnect, uma ferramenta legítima de acesso remoto, que é utilizada para fins maliciosos. Antes de ativar essa ferramenta, os atacantes instalam um driver de kernel que desativa as proteções de segurança, como o Windows Defender. A campanha não se limita apenas a iscas relacionadas a impostos; também foram identificadas páginas falsas de atualização do Chrome, sugerindo um arsenal de engenharia social mais amplo. O ataque parece ser uma fase inicial de uma campanha mais complexa, onde os criminosos buscam estabelecer uma base e coletar credenciais, possivelmente preparando o terreno para a implementação de ransomware.

Recentemente, a CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) e o FBI alertaram sobre campanhas de phishing conduzidas por atores associados aos serviços de inteligência da Rússia. Essas campanhas têm como alvo aplicativos de mensagens comerciais (CMAs) como WhatsApp e Signal, visando indivíduos de alto valor de inteligência, incluindo oficiais do governo dos EUA, militares, figuras políticas e jornalistas. Os ataques resultaram no comprometimento de milhares de contas, permitindo que os invasores visualizassem mensagens, listas de contatos e enviassem mensagens em nome das vítimas. Importante ressaltar que os ataques não exploram vulnerabilidades de segurança, mas sim utilizam engenharia social para enganar as vítimas a fornecerem códigos de verificação ou a clicarem em links maliciosos. A C4, centro de coordenação de crises cibernéticas da França, também emitiu um alerta sobre o aumento dessas campanhas. Para se proteger, os usuários devem evitar compartilhar códigos de verificação e ter cautela ao receber mensagens inesperadas. A Signal enfatizou que nunca solicitará códigos de verificação por mensagens diretas ou redes sociais, alertando que qualquer solicitação desse tipo é uma fraude.

Sasha-Jay Davies, uma jovem britânica de 19 anos, se tornou vítima de catfishing, uma prática onde indivíduos roubam a identidade de outra pessoa na internet para enganar outros usuários. O caso de Davies é alarmante, pois um perfil falso que usava suas fotos e informações pessoais acumulou mais de 81 mil seguidores no TikTok e 22 mil no Instagram. O impostor, que atuou por quase quatro anos, não apenas gerou constrangimento para Davies, mas também a colocou em situações perigosas, como ser confrontada por pessoas que acreditavam que ela era a responsável por encontros que nunca ocorreram. Apesar da gravidade da situação, a polícia afirmou que pouco poderia ser feito, já que o ato não envolvia extorsão ou ameaças diretas, o que levanta questões sobre a eficácia das leis atuais em lidar com crimes virtuais. Especialistas alertam que a prevenção é crucial, recomendando que os usuários limitem a exposição de informações pessoais e adotem práticas de segurança, como senhas fortes e autenticação em duas etapas. O caso destaca a necessidade urgente de uma legislação mais robusta para lidar com crimes de identidade na era digital.

O golpe do CAPTCHA falso é uma técnica de engenharia social que visa enganar usuários na internet, fazendo-os acreditar que estão interagindo com um sistema legítimo de verificação. Este tipo de golpe se aproveita da familiaridade dos internautas com CAPTCHAs, que são usados para confirmar que o usuário não é um robô. Os criminosos criam uma interface que imita provedores conhecidos, como Cloudflare e reCAPTCHA, e induzem as vítimas a realizar ações perigosas, como baixar malware ou fornecer informações pessoais. Os sinais de alerta incluem CAPTCHAs que solicitam ações incomuns, como abrir janelas do sistema ou instalar extensões desconhecidas. Para se proteger, os usuários devem desconectar-se da internet imediatamente após suspeitar de um golpe, rodar verificações de segurança e alterar senhas em dispositivos limpos. A conscientização sobre esses golpes é crucial, pois a engenharia social é uma das táticas mais eficazes utilizadas por cibercriminosos.

O malware BlackSanta, que se disfarça em imagens, está se tornando uma ameaça crescente para empresas, especialmente durante processos de recrutamento. Ele utiliza táticas sofisticadas para se infiltrar nos sistemas, aproveitando a pressa dos profissionais de Recursos Humanos que frequentemente baixam currículos de fontes não confiáveis. O ataque começa com o envio de um arquivo ISO que, ao ser aberto, executa um arquivo de atalho que ativa um script PowerShell oculto. Esse script extrai payloads maliciosos escondidos em imagens, permitindo que o malware opere diretamente na memória do computador, dificultando sua detecção. Uma vez instalado, o BlackSanta se conecta a um servidor de comando via HTTPS, permitindo que os hackers roubem dados sensíveis e criptomoedas. O malware é notório por desativar defesas de segurança, incluindo EDRs, o que o torna ainda mais perigoso. Especialistas da Aryaka alertam que as empresas devem tratar os fluxos de trabalho do RH com a mesma seriedade que setores financeiros e de TI, dada a vulnerabilidade a ataques como o do BlackSanta.

O grupo de ameaças conhecido como UNC4899, vinculado ao governo da Coreia do Norte, está associado a uma sofisticada campanha de comprometimento em nuvem que visou uma organização de criptomoedas em 2025, resultando no roubo de milhões de dólares em ativos digitais. O ataque começou com engenharia social, onde um desenvolvedor foi enganado a baixar um arquivo malicioso que, ao ser transferido para seu dispositivo corporativo, permitiu que os invasores acessassem o ambiente de nuvem da empresa. Utilizando técnicas de Living-off-the-Cloud (LotC), os atacantes exploraram fluxos de trabalho legítimos de DevOps para coletar credenciais e manipular bancos de dados SQL na nuvem. Através de uma série de etapas, incluindo a modificação de políticas de autenticação multifatorial e a injeção de comandos em recursos do Kubernetes, o grupo conseguiu escalar privilégios e acessar informações sensíveis, culminando em saques significativos de criptomoedas. Este incidente destaca os riscos críticos associados ao uso de métodos de transferência de dados pessoais para corporativos e à gestão inadequada de segredos em ambientes de nuvem. Especialistas recomendam que as organizações adotem estratégias de defesa em profundidade e implementem controles rigorosos para mitigar tais ameaças.

O artigo aborda a crescente manipulação de Inteligências Artificiais (IAs) por cibercriminosos, destacando como técnicas de engenharia social evoluíram para enganar não apenas humanos, mas também máquinas. Modelos de linguagem como ChatGPT e Claude são explorados para descobrir vulnerabilidades, criar malwares e realizar ataques em larga escala. O conceito de ‘jailbreak linguístico’ é introduzido, onde hackers criam cenários fictícios para contornar as limitações das IAs e obter informações sigilosas. A manipulação de contexto é uma estratégia comum, onde os criminosos assumem identidades de autoridade para persuadir as IAs a relaxar suas defesas éticas. Essa abordagem não só facilita a criação de e-mails de phishing convincentes, mas também permite que indivíduos com pouco conhecimento técnico realizem ataques complexos. O artigo conclui que a cibersegurança do futuro exigirá uma combinação de habilidades técnicas, linguísticas e psicológicas para proteger sistemas contra essas novas ameaças.

Pesquisadores da Push Security identificaram uma nova técnica de engenharia social chamada InstallFix, que está sendo utilizada por cibercriminosos para induzir usuários a executar comandos maliciosos sob a falsa promessa de instalação de ferramentas legítimas de interface de linha de comando (CLI). Essa técnica explora a prática comum entre desenvolvedores de baixar e executar scripts de fontes online sem a devida verificação. O ataque utiliza páginas clonadas de ferramentas populares, como o Claude Code, que imitam o layout e a documentação do site oficial, mas fornecem instruções de instalação que entregam malware. O malware identificado é o Amatera Stealer, projetado para roubar dados sensíveis, como credenciais e carteiras de criptomoedas. Os atacantes promovem essas páginas por meio de campanhas de malvertising no Google Ads, levando usuários a clicar em anúncios maliciosos que aparecem nos resultados de busca. A Push Security alerta que, devido à confiança excessiva em domínios, essa técnica pode se tornar uma ameaça significativa, especialmente para usuários não técnicos. Os pesquisadores recomendam que os usuários sempre busquem instruções de instalação em sites oficiais e evitem resultados patrocinados nas buscas do Google.

Uma nova pesquisa da Symantec e Carbon Black revelou que um grupo de hackers iraniano, conhecido como MuddyWater, está infiltrando-se em redes de várias empresas dos Estados Unidos, incluindo bancos e aeroportos. A campanha, que começou em fevereiro de 2026, coincide com ataques militares dos EUA e de Israel ao Irã. Os hackers estão utilizando uma nova backdoor chamada Dindoor, que opera com o runtime JavaScript Deno, e tentaram exfiltrar dados de uma empresa de software que fornece serviços para a indústria de defesa. Além disso, uma backdoor em Python chamada Fakeset foi encontrada em redes de um aeroporto e de uma organização sem fins lucrativos. O uso de certificados digitais comuns entre diferentes malwares sugere que o mesmo grupo está por trás dessas atividades. A pesquisa destaca a crescente sofisticação dos atores de ameaças iranianos, que têm demonstrado habilidades avançadas em engenharia social e ataques cibernéticos. O contexto de conflito militar no Oriente Médio tem intensificado as operações cibernéticas, com grupos hacktivistas pro-Palestina também realizando ataques. As organizações são aconselhadas a reforçar suas posturas de cibersegurança, implementando autenticação multifator e segmentação de rede.

A Microsoft revelou detalhes sobre uma nova campanha de engenharia social chamada ClickFix, que utiliza o aplicativo Windows Terminal para ativar uma cadeia de ataques sofisticados e implantar o malware Lumma Stealer. Observada em fevereiro de 2026, a campanha orienta os usuários a abrir o Windows Terminal através do atalho Windows + X → I, criando um ambiente de execução de comandos que parece legítimo e confiável. Essa abordagem contorna detecções que normalmente sinalizariam abusos do diálogo de execução do Windows.

Um grupo de ameaças ligado ao Irã, identificado como Dust Specter, está sendo responsabilizado por uma campanha de ciberataques direcionada a autoridades governamentais do Iraque. A campanha, observada pela Zscaler ThreatLabz em janeiro de 2026, utiliza técnicas de engenharia social para se passar pelo Ministério das Relações Exteriores do Iraque e distribuir um conjunto de malwares inéditos, incluindo SPLITDROP, TWINTASK, TWINTALK e GHOSTFORM.

Os ataques começam com um arquivo RAR protegido por senha, que contém um dropper .NET chamado SPLITDROP. Este dropper carrega o módulo TWINTASK, que é um DLL malicioso que se infiltra em um processo legítimo do VLC Media Player para executar comandos a partir de um arquivo de texto. O módulo TWINTALK, por sua vez, atua como um orquestrador de comando e controle (C2), permitindo a comunicação com o servidor C2.

A LastPass, fornecedora de software de gerenciamento de senhas, emitiu um alerta sobre uma campanha de phishing que visa seus usuários. Os atacantes estão enviando e-mails que imitam representantes da LastPass, utilizando nomes de exibição falsificados e linhas de assunto que simulam conversas internas sobre solicitações de alteração de e-mail. Os e-mails contêm links que direcionam os usuários a uma página de login falsa, hospedada no domínio ‘verify-lastpass[.]com’, onde as credenciais dos usuários são coletadas. A LastPass esclareceu que sua infraestrutura não foi comprometida e que seus agentes de suporte nunca solicitarão a senha mestra dos usuários. A empresa está colaborando com parceiros para desativar os sites falsos e recomenda que os usuários relatem comunicações suspeitas. Este não é o primeiro incidente desse tipo; a LastPass já havia alertado anteriormente sobre campanhas de phishing semelhantes. A popularidade da LastPass a torna um alvo frequente para esses ataques, que frequentemente utilizam táticas de engenharia social para induzir os usuários a agir rapidamente e fornecer suas informações pessoais.

Recentemente, pesquisadores da Huntress identificaram uma nova campanha de ciberataque onde criminosos se passam por suporte técnico para implantar o framework de comando e controle (C2) Havoc, visando a exfiltração de dados ou ataques de ransomware. A intrusão foi observada em cinco organizações parceiras, onde os atacantes utilizaram e-mails de spam como iscas, seguidos de ligações telefônicas que ativaram um complexo pipeline de entrega de malware.

Em uma das organizações, os atacantes conseguiram se mover lateralmente para nove endpoints em apenas 11 horas, utilizando uma combinação de payloads personalizados do Havoc e ferramentas legítimas de gerenciamento remoto (RMM) para garantir persistência. A técnica de engenharia social, que inclui a criação de páginas falsas que imitam serviços da Microsoft, foi fundamental para o sucesso do ataque, permitindo que os criminosos coletassem credenciais dos usuários.

Um grupo de hackers brasileiros, conhecido como Tropa do Arranca, está utilizando táticas de engenharia social para roubar e desbloquear iPhones, além de acessar dados sensíveis das vítimas. A abordagem combina o roubo físico de dispositivos com técnicas digitais, como phishing. Os criminosos imitam a interface da ferramenta ‘Encontre meu iPhone’, fazendo com que as vítimas acreditem que estão rastreando seus aparelhos perdidos. Ao clicar em links fraudulentos, as vítimas inserem suas credenciais do iCloud, permitindo que os hackers acessem suas contas. Pesquisadores de segurança identificaram um código suspeito em páginas de login do iCloud, que inclui uma assinatura digital do grupo. Os hackers não apenas desbloqueiam os iPhones, mas também os revendem em mercados clandestinos e acessam informações bancárias. Para se proteger, especialistas recomendam que os usuários nunca insiram suas credenciais em links recebidos por mensagens e que utilizem autenticação em dois fatores. A Tropa do Arranca, embora não seja uma rede global, demonstra uma organização crescente e pode expandir suas atividades em outras regiões do Brasil.

O grupo de hackers conhecido como Scattered Lapsus$ Hunters (SLSH) está recrutando mulheres para aprimorar suas operações de engenharia social, especialmente em helpdesks de TI. De acordo com postagens no Telegram, as participantes podem receber entre R$ 2.500 e R$ 5.000 por ligação, dependendo do sucesso na obtenção de credenciais de acesso. O processo de recrutamento envolve a resposta a perguntas de triagem e a adesão a um roteiro durante as chamadas. O objetivo é enganar os funcionários de suporte técnico para que forneçam informações sensíveis, como senhas, que podem ser usadas para acessar redes corporativas. Especialistas em cibersegurança observam que essa tática representa uma evolução calculada nas estratégias do grupo, que busca explorar vozes femininas para evitar perfis de atacantes que os funcionários de TI estão acostumados a identificar. Além disso, a crescente comercialização da engenharia social, com pagamentos baseados em desempenho, indica uma dependência maior de manipulação humana em vez de intrusões técnicas. As organizações são aconselhadas a reforçar a verificação de identidade e a implementar controles de proteção contra roubo de identidade para mitigar esses riscos.

Um homem de 22 anos do Alabama, Jamarcus Mosley, se declarou culpado por extorsão, ciberstalking e fraudes computacionais após sequestrar contas de redes sociais de centenas de mulheres jovens, incluindo menores. Entre abril de 2022 e maio de 2025, Mosley se passou por amigos das vítimas e utilizou táticas de engenharia social para obter códigos de recuperação de contas e senhas. Com as credenciais roubadas, ele tomou controle de contas do Snapchat, Instagram e outras redes sociais. Após o sequestro, Mosley ameaçou divulgar imagens e vídeos íntimos das vítimas ou bloqueá-las de suas contas, a menos que elas atendessem suas exigências, que incluíam o envio de conteúdo sexual explícito ou pagamento em dinheiro. O promotor dos EUA, Theodore S. Hertzberg, destacou que Mosley explorou a confiança de adolescentes e jovens adultos, resultando em um esquema cruel e calculado. O caso inclui exemplos específicos, como o de uma mulher da Geórgia que foi enganada a compartilhar seu código de recuperação do Snapchat, e outra da Flórida que teve suas fotos íntimas publicadas online após recusar os pedidos de Mosley. Ele deve ser sentenciado em 27 de maio. Este caso é um alerta sobre os riscos de interação online e a necessidade de cautela.

Um novo golpe envolvendo o sistema de pagamentos Pix está em circulação, onde criminosos utilizam inteligência artificial para gerar comprovantes falsos de transferências. O golpe se baseia na engenharia social, onde os golpistas enviam um comprovante que aparenta ser legítimo, contendo informações corretas como nome, valor e status de ‘concluído’. No entanto, a transferência nunca ocorre, pois o comprovante é gerado por bots que imitam os documentos enviados por bancos. Quando a vítima tenta recuperar o valor através do Mecanismo Especial de Devolução (MED) do Banco Central, a operação é bloqueada, pois não houve uma transferência real. Para se proteger, os usuários devem desconfiar de comprovantes recebidos de desconhecidos, verificar diretamente no aplicativo do banco e estar atentos a sinais como a presença da palavra ‘Agendado’ nos comprovantes. Além disso, é recomendado ativar notificações do banco e evitar chaves ou QR Codes desconhecidos.

Um relatório da empresa de cibersegurança ReliaQuest revela que o tempo médio para iniciar um ataque digital caiu para apenas 34 minutos em 2025, uma redução de 29% em relação ao ano anterior. O dado mais alarmante é que o tempo mínimo registrado para o início de um ataque foi de apenas quatro minutos, uma velocidade 85% maior do que em 2024. Essa aceleração nos ataques é atribuída ao uso crescente de ferramentas de inteligência artificial (IA) pelos cibercriminosos, que agora conseguem automatizar processos como reconhecimento de perfis em redes sociais e criação de roteiros mais convincentes para engenharia social. Grupos de ransomware são os principais usuários dessas tecnologias, com 80% deles utilizando IA para potencializar suas operações. Apesar desse cenário preocupante, especialistas em cibersegurança também podem se beneficiar da IA para detectar e mitigar ameaças rapidamente, adaptando informações às realidades específicas de suas organizações. O relatório destaca a importância de as empresas se prepararem para essa nova realidade, onde a velocidade e sofisticação dos ataques estão em constante evolução.

O coletivo de cibercrime Scattered LAPSUS$ Hunters (SLH) está recrutando mulheres para realizar ataques de engenharia social, especificamente campanhas de vishing (voice phishing) direcionadas a help desks de TI. Segundo a empresa de inteligência de ameaças Dataminr, o grupo oferece entre US$ 500 e US$ 1.000 por chamada, além de fornecer roteiros pré-escritos para facilitar a execução dos ataques. Essa estratégia visa aumentar a taxa de sucesso nas tentativas de se passar por funcionários, uma vez que as vozes femininas podem ser menos suspeitas para os atendentes. O SLH, que inclui outros grupos como LAPSUS$ e Scattered Spider, é conhecido por suas táticas avançadas que burlam a autenticação multifator (MFA) através de técnicas como SIM swapping e MFA prompt bombing. Os ataques frequentemente envolvem a obtenção de acesso inicial por meio de chamadas para help desks, onde os criminosos convencem os atendentes a redefinir senhas ou instalar ferramentas de gerenciamento remoto. A empresa Palo Alto Networks também destacou que o SLH é habilidoso em explorar a psicologia humana, utilizando ferramentas legítimas para se misturar e evitar detecções. Diante desse cenário, as organizações devem treinar suas equipes de suporte para identificar scripts pré-escritos e reforçar políticas de verificação de identidade.

Um ator de ameaça alinhado à Rússia foi identificado atacando uma instituição financeira europeia, utilizando engenharia social para potencialmente coletar informações ou realizar roubo financeiro. O ataque, atribuído ao grupo de cibercrime UAC-0050 (também conhecido como DaVinci Group), foi descrito como uma tentativa de expandir o foco das operações além da Ucrânia, atingindo entidades que apoiam o país em guerra.

O ataque começou com um e-mail de spear-phishing que simulava um domínio judicial ucraniano, levando o destinatário a baixar um arquivo malicioso. Este arquivo ZIP continha um arquivo RAR protegido por senha, que, por sua vez, continha um executável disfarçado de documento PDF. A execução do arquivo resultou na instalação de um software de acesso remoto, o Remote Manipulator System (RMS), que permite controle remoto e compartilhamento de arquivos.

Pesquisadores de cibersegurança revelaram uma nova campanha de cryptojacking que utiliza pacotes de software pirata como iscas para implantar um programa minerador XMRig em sistemas comprometidos. A análise do malware indica uma infecção sofisticada em múltiplas etapas, priorizando a maximização da taxa de hash de mineração de criptomoedas, o que pode desestabilizar o sistema da vítima. O ataque começa com engenharia social, onde usuários são enganados a baixar executáveis maliciosos disfarçados de softwares legítimos. O malware possui capacidades semelhantes a vermes, espalhando-se por dispositivos de armazenamento externo e permitindo movimento lateral, mesmo em ambientes isolados. Além disso, ele utiliza um driver vulnerável para escalar privilégios e garantir persistência. A campanha foi projetada para operar até uma data limite específica, 23 de dezembro de 2025, sugerindo um planejamento estratégico por parte dos atacantes. A atividade de mineração foi observada em novembro de 2025, com um pico em dezembro. Este caso destaca a inovação contínua do malware comercial, combinando engenharia social, disfarces de software legítimo e exploração de vulnerabilidades de kernel.

Recentemente, o Brasil tem enfrentado um aumento alarmante de golpes digitais que se disfarçam como comunicações legítimas do Microsoft Teams. Esses ataques, que utilizam engenharia social, frequentemente envolvem convites falsos para reuniões, mensagens de cobrança e solicitações de transferências bancárias. Os criminosos se aproveitam da reputação da Microsoft para enganar os usuários, ocultando suas intenções maliciosas por meio de endereços de e-mail que parecem autênticos. Para ajudar os usuários a se protegerem, o artigo apresenta um checklist com quatro dicas essenciais: verificar a etiqueta de ’externo’ ao lado do nome do remetente, observar o domínio do e-mail, desconfiar de solicitações de ligação e sempre usar canais oficiais para verificar notificações. A Microsoft está implementando medidas para combater esses golpes, mas a conscientização dos usuários é fundamental para evitar fraudes.

O cenário de cibersegurança continua a evoluir rapidamente, com novas ameaças e táticas emergindo constantemente. O Google lançou a versão beta do Android 17, que inclui melhorias significativas em privacidade e segurança, como a descontinuação do tráfego em texto claro e suporte à criptografia híbrida HPKE. Por outro lado, o ransomware LockBit 5.0 se destaca por suas técnicas avançadas de evasão e suporte a múltiplas plataformas, incluindo Proxmox, um alvo crescente entre empresas. Além disso, novas campanhas de engenharia social, como ClickFix, estão explorando usuários de macOS através de técnicas de obfuscação, levando à instalação de malware e roubo de credenciais. A detenção de um suspeito na Polônia, ligado ao grupo de ransomware Phobos, e o aumento de ataques a organizações industriais, com um crescimento de 49% em grupos de ransomware focados nesse setor, destacam a gravidade da situação. A Microsoft também enfrentou um problema de segurança com o Copilot, que resumiu e-mails confidenciais sem permissão, violando políticas de proteção de dados. Esses eventos ressaltam a necessidade urgente de que as organizações reavaliem suas estratégias de segurança e resposta a incidentes.

A ascensão da Inteligência Artificial Generativa (GenAI) está transformando o cenário da cibersegurança, permitindo que hackers desenvolvam malware de forma mais rápida e complexa. Um relatório da Palo Alto, intitulado ‘Unit 42 Global Incident Response Report’, revela que o tempo necessário para exfiltração de dados caiu de cinco horas para apenas 72 minutos, um aumento significativo na eficiência dos ataques. O navegador continua sendo o principal alvo, com 48% dos incidentes ocorrendo nesse ambiente, mas a complexidade dos ataques está crescendo, com 87% das intrusões abrangendo múltiplas superfícies de ataque. Além disso, fraquezas de identidade e ataques à cadeia de suprimentos estão se tornando comuns, com 65% dos acessos iniciais resultantes de engenharia social. Os ataques a aplicações SaaS aumentaram quase quatro vezes desde 2022, representando 23% de todos os ataques. Os operadores de ransomware estão mudando seu foco de criptografia para a extração de dados, o que torna a detecção mais difícil para os defensores. Essa evolução no uso da IA pelos atacantes representa um desafio crescente para a comunidade de cibersegurança, exigindo uma resposta mais robusta e ágil das organizações.

A Figure Technology Solutions, uma empresa de tecnologia financeira baseada em blockchain, sofreu uma violação de dados que resultou no roubo de informações pessoais de aproximadamente 1 milhão de contas. O incidente, que não foi divulgado publicamente pela empresa, foi confirmado por um porta-voz em uma declaração ao TechCrunch, que mencionou que os atacantes obtiveram acesso a um número limitado de arquivos por meio de um ataque de engenharia social. A plataforma de empréstimos fintech teve dados de 967.200 contas expostos, incluindo endereços de e-mail, nomes, números de telefone, endereços físicos e datas de nascimento. O grupo de extorsão ShinyHunters assumiu a responsabilidade pelo ataque, publicando 2,5 GB de dados supostamente roubados de candidatos a empréstimos. O ataque se insere em uma série de violações recentes que afetaram outras empresas de destaque, como Canada Goose e Match Group, muitas das quais foram alvo de campanhas de phishing por voz (vishing) que visavam contas de login de acesso único (SSO). A situação destaca a crescente ameaça de ataques de engenharia social e a importância de medidas de segurança robustas para proteger dados sensíveis.

O grupo hacker ShinyHunters, ativo desde 2020, tem se destacado por uma série de ataques cibernéticos a grandes empresas, incluindo Santander, Ticketmaster e Tinder. Recentemente, o grupo invadiu o Match Group, resultando no vazamento de 1,7 GB de dados de clientes, afetando até 10 milhões de usuários. O ShinyHunters se diferencia por sua abordagem sutil, focando no roubo de credenciais armazenadas em nuvem, ao invés de utilizar métodos tradicionais de ransomware. Eles utilizam táticas de engenharia social, como vishing, para enganar funcionários e obter informações sensíveis. A presença do grupo na dark web, especialmente no BreachForums, facilita a venda de dados vazados e a orquestração de novos ataques. A evolução das táticas do ShinyHunters torna suas ações mais sofisticadas e perigosas, representando uma ameaça significativa para a segurança digital das empresas. Especialistas alertam que a combinação de ataques direcionados e a exploração de vulnerabilidades humanas pode resultar em prejuízos financeiros e danos à reputação das organizações.

A Microsoft revelou uma nova versão da tática de engenharia social chamada ClickFix, onde atacantes induzem usuários a executar comandos que realizam consultas DNS para obter um payload malicioso. O ataque utiliza o comando ’nslookup’ através do diálogo de execução do Windows, permitindo que os criminosos contornem controles de segurança. O ClickFix é frequentemente disseminado por meio de phishing, malvertising ou downloads automáticos, redirecionando as vítimas para páginas falsas que simulam verificações de CAPTCHA ou instruções para resolver problemas inexistentes. Essa técnica tem se tornado comum nos últimos dois anos, levando os usuários a infectarem suas próprias máquinas. A nova variante usa DNS como um canal leve de sinalização, reduzindo a dependência de requisições web tradicionais e misturando atividades maliciosas ao tráfego normal da rede. O payload baixado inicia uma cadeia de ataque que resulta na execução de um trojan de acesso remoto, ModeloRAT. Além disso, a Bitdefender reportou um aumento na atividade do Lumma Stealer, impulsionado por campanhas de ClickFix que utilizam verificações de CAPTCHA falsas. O artigo destaca a resiliência das operações de Lumma Stealer, que continuam a evoluir apesar de esforços de interrupção por parte das autoridades.

Os infostealers, como o Atomic MacOS Stealer (AMOS), são mais do que simples malwares; eles são componentes fundamentais de uma economia de cibercrime que se concentra na coleta e comercialização de identidades digitais roubadas. Esses malwares atuam como motores de coleta de dados em larga escala, alimentando mercados subterrâneos onde credenciais, sessões e dados financeiros são comprados e vendidos, facilitando fraudes e invasões subsequentes. A eficácia dessas campanhas se deve à sua abordagem oportunista de engenharia social, que se adapta constantemente às tendências tecnológicas e explora plataformas confiáveis e softwares populares para enganar os usuários. O relatório de 2026 sobre a exposição de identidade de infostealers destaca o crescente domínio desses malwares na economia do cibercrime e seu impacto nas organizações. O AMOS, que apareceu pela primeira vez em maio de 2023, utiliza técnicas de disseminação sofisticadas, como campanhas de phishing e a exploração de assistentes pessoais de IA, para infectar usuários e roubar dados sensíveis. A pesquisa revela que a distribuição de AMOS se aproveita da popularidade de softwares como o OpenClaw, demonstrando como a engenharia social e a monetização de dados se entrelaçam para criar um ambiente de cibercrime altamente eficaz.

A atividade de ameaças cibernéticas nesta semana revela um padrão preocupante: os atacantes estão se concentrando em métodos já conhecidos, utilizando ferramentas confiáveis e explorando vulnerabilidades negligenciadas. A entrada inicial em sistemas está se tornando mais simples, enquanto as atividades pós-comprometimento estão mais estruturadas e persistentes, com o objetivo de permanecer infiltrado e extrair valor. Um exemplo é a falha de injeção de comando no Notepad da Microsoft (CVE-2026-20841), que permite a execução remota de código. Além disso, Taiwan se tornou um alvo frequente de ataques APT, com 173 operações registradas em 2025, refletindo sua importância geopolítica. Novos malwares, como LTX Stealer e Marco Stealer, estão sendo usados para roubo de credenciais e dados sensíveis. Uma campanha de engenharia social também está em andamento, visando contas do Telegram através do abuso de fluxos de autenticação. Por fim, a Discord anunciou um novo sistema de verificação de idade, levantando preocupações sobre a privacidade dos usuários após um incidente anterior que resultou no vazamento de dados de 70 mil usuários. Esses eventos destacam a necessidade urgente de vigilância e atualização das defesas cibernéticas.

O grupo de ameaças conhecido como UNC1069, vinculado à Coreia do Norte, tem se concentrado em atacar o setor de criptomoedas, visando roubar dados sensíveis de sistemas Windows e macOS para facilitar o furto financeiro. A intrusão utiliza uma sofisticada engenharia social, que envolve uma conta do Telegram comprometida, reuniões falsas no Zoom, e vetores de infecção como ClickFix. Pesquisadores da Google Mandiant relataram que o grupo tem utilizado ferramentas de inteligência artificial, como o Gemini, para criar materiais de isca e mensagens relacionadas a criptomoedas. Desde 2023, UNC1069 tem mudado seu foco de técnicas de spear-phishing tradicionais para a indústria Web3, atacando exchanges centralizadas, desenvolvedores de software e empresas de capital de risco. A última campanha documentada revelou o uso de até sete famílias únicas de malware, incluindo SILENCELIFT e DEEPBREATH, que são projetados para roubar credenciais e dados de navegadores. O ataque começa com uma abordagem no Telegram, onde o ator se passa por investidores, e leva a vítima a um site falso do Zoom, onde um vídeo enganoso é apresentado. A complexidade e a variedade de ferramentas utilizadas indicam um esforço determinado para coletar dados e facilitar o roubo financeiro.

Hackers da Coreia do Norte estão realizando campanhas direcionadas utilizando vídeos gerados por IA e a técnica ClickFix para distribuir malware em sistemas macOS e Windows, visando alvos no setor de criptomoedas. O objetivo financeiro das ações foi evidenciado em um ataque a uma empresa fintech, conforme investigado pela Mandiant, que identificou sete famílias distintas de malware para macOS atribuídas ao grupo UNC1069, ativo desde 2018.

O ataque começou com engenharia social, onde a vítima foi contatada via Telegram por uma conta comprometida de um executivo de uma empresa de criptomoedas. Após estabelecer um relacionamento, os hackers enviaram um link para uma reunião falsa no Zoom, onde apresentaram um vídeo deepfake de um CEO de outra empresa do setor. Durante a ‘reunião’, os hackers induziram a vítima a executar comandos que iniciaram a cadeia de infecção.

Recentemente, trabalhadores de TI associados à Coreia do Norte têm utilizado contas reais do LinkedIn de indivíduos que estão imitando para se candidatar a vagas remotas, representando uma escalada nas fraudes. Esses perfis frequentemente possuem e-mails de trabalho verificados e crachás de identidade, o que torna as aplicações fraudulentas mais convincentes. O objetivo é gerar receita para financiar programas de armamento e realizar espionagem ao roubar dados sensíveis. A empresa de cibersegurança Silent Push descreveu o programa de trabalhadores remotos da Coreia do Norte como uma ‘máquina de receita de alto volume’. Os trabalhadores transferem criptomoedas através de técnicas de lavagem de dinheiro, como a troca de tokens, para ocultar a origem dos fundos. Para se proteger, indivíduos que suspeitam de roubo de identidade devem alertar suas redes sociais e validar contas de candidatos. A Polícia de Segurança da Noruega também emitiu um alerta sobre casos em que empresas norueguesas foram enganadas a contratar esses trabalhadores. Além disso, uma campanha de engenharia social chamada ‘Contagious Interview’ tem sido usada para atrair alvos para entrevistas falsas, levando à execução de código malicioso. O cenário é alarmante, pois a Coreia do Norte continua a desenvolver suas capacidades cibernéticas e a explorar vulnerabilidades em empresas ocidentais.