Engenharia Social

Recentemente, o cenário de cibersegurança tem se tornado cada vez mais complexo, com diversas ameaças emergindo. Um dos incidentes mais notáveis foi um ataque de engenharia social contra a empresa ReliaQuest, onde hackers criaram um domínio falso para enganar funcionários e coletar credenciais. Embora o acesso tenha sido limitado, o incidente revela a vulnerabilidade das organizações a ataques de phishing sofisticados. Além disso, aplicativos de produtividade falsos estão sendo utilizados para disseminar malware, permitindo que os atacantes executem scripts maliciosos e capturem dados do desktop.

O Google Workspace se tornou essencial para o funcionamento de empresas em crescimento, oferecendo acesso a e-mails, arquivos e aplicativos. No entanto, essa conectividade também pode facilitar a propagação de brechas de segurança. Em um webinar programado para 23 de setembro de 2026, a BleepingComputer, em parceria com a Material Security, discutirá como as empresas são comprometidas através do Google Workspace. Os especialistas Rajan Kapoor e Rick Fitzgerald analisarão casos reais de brechas documentadas, destacando que muitos ataques não começam com vulnerabilidades sofisticadas, mas sim com engenharia social ou integrações de terceiros esquecidas que ainda possuem acesso. Durante os momentos iniciais de um incidente, as decisões tomadas podem influenciar significativamente o impacto da violação. O webinar abordará como os atacantes acessam ambientes do Google Workspace, as decisões críticas nas primeiras horas de um ataque e quais controles de segurança são mais eficazes para empresas com recursos limitados. O foco será em melhorias práticas que podem ser implementadas rapidamente, ajudando as equipes de segurança a entender melhor as vulnerabilidades e a responder de forma mais eficaz a incidentes.

Pesquisadores de cibersegurança revelaram uma plataforma de phishing como serviço (PhaaS) chamada AnonyMousKIT, projetada para remover o Activation Lock de dispositivos Apple roubados. Utilizando agentes de voz baseados em inteligência artificial, a plataforma engana vítimas, se passando por suporte da Apple e solicitando códigos de acesso dos dispositivos. O serviço é creditado, permitindo que os criminosos escolham entre diferentes canais de ataque, como e-mail, SMS e chamadas de voz. Os alvos são proprietários de dispositivos Apple que recentemente perderam ou tiveram seus aparelhos roubados. A plataforma coleta informações do dispositivo, como o modelo e a localização, para aumentar a credibilidade das abordagens. Entre março e julho de 2026, foram registradas 691 tentativas de envio de mensagens, com um custo total de aproximadamente 19 dólares. A pesquisa destaca que a plataforma representa uma combinação de engenharia social e ferramentas técnicas, tornando o roubo de dispositivos mais lucrativo. A Apple reiterou que nunca solicita senhas ou códigos de autenticação em suas comunicações. Especialistas recomendam que usuários de Apple adotem chaves de segurança física para proteger suas contas contra esse tipo de ataque.

A empresa de cibersegurança ReliaQuest confirmou que um de seus funcionários foi alvo de um ataque de engenharia social, onde hackers se passaram por membros da equipe de segurança. Os atacantes tentaram enganar os colaboradores para que acessassem uma página falsa de login único (SSO) da ReliaQuest. A equipe de pesquisa de ameaças da empresa havia alertado sobre uma campanha do grupo de extorsão ShinyHunters, que registrou domínios .claims para se passar por equipes de suporte técnico. Um dos funcionários caiu na armadilha, inserindo suas credenciais na página falsa e aprovando uma notificação de autenticação multifator (MFA), o que deu ao atacante acesso temporário e somente de visualização ao painel de identidade da ReliaQuest. Apesar disso, controles de segurança impediram acessos subsequentes a aplicativos. A empresa tomou medidas imediatas, encerrando as sessões do atacante e revogando a senha exposta. A investigação não encontrou evidências de acesso a outros sistemas ou dados. O grupo ShinyHunters, em uma postagem em seu portal de extorsão, reivindicou o ataque, mas afirmou que o acesso foi limitado e não comprometeu dados de clientes ou sistemas da ReliaQuest.

O artigo aborda a evolução das ameaças de phishing, destacando três fases distintas: Phishing 1.0, focado em conteúdo malicioso; Phishing 2.0, que explora a intenção maliciosa através de engenharia social; e Phishing 3.0, que utiliza inteligência artificial (IA) para criar ataques mais sofisticados e personalizados. A transição para a terceira fase representa um desafio significativo, pois os atacantes agora utilizam agentes de IA para realizar reconhecimento e elaborar iscas que parecem autênticas, aumentando a eficácia dos ataques. O estudo revela que 88% dos líderes de segurança enfrentaram incidentes que minaram a confiança nas comunicações digitais, e 60% não confiam em sua capacidade de combater ataques com deepfakes. A análise sugere que as ferramentas tradicionais de segurança estão desatualizadas, pois não conseguem detectar ameaças que não possuem conteúdo malicioso visível. Para enfrentar essa nova realidade, as organizações devem adotar uma postura proativa, utilizando IA para antecipar e mitigar ataques antes que eles ocorram.

Pesquisadores em cibersegurança identificaram uma operação global de cibercrime que utiliza milhares de sites WordPress comprometidos como infraestrutura para disseminar malware e roubar dados. Denominada StopAndProtect, a campanha começou com um ataque de engenharia social chamado ClickFix, que executa comandos PowerShell para implantar um conjunto de ferramentas maliciosas. Entre os componentes estão ransomware, worms, e um utilitário de chat que permite comunicação entre atacantes e vítimas. A operação se aproveita de sites WordPress desatualizados, muitos dos quais apresentam vulnerabilidades conhecidas. Até agora, cerca de 2.000 sites foram hackeados, e a campanha já comprometeu mais de 6.000 endereços IP únicos, principalmente nos EUA, Rússia e Índia. Os atacantes também utilizam um plugin malicioso que permite o upload de arquivos PHP, possibilitando a execução remota de código. A Check Point Research alerta que as organizações devem estar atentas a prompts de CAPTCHA inesperados e manter seus sistemas atualizados para evitar infecções.

Pesquisadores de cibersegurança divulgaram detalhes sobre um novo framework de malware em Python chamado TWINLOOT, projetado para operar sua infraestrutura de comando e controle (C2) utilizando serviços confiáveis da Microsoft. O TWINLOOT utiliza o SharePoint Online e o Microsoft Graph API para comunicação, tornando seu tráfego quase indistinguível da atividade legítima. O malware é capaz de coletar credenciais do Windows através de telas de bloqueio falsas, executar comandos arbitrários e manter persistência no sistema comprometido.

Um ator de ameaças, conhecido pelo pseudônimo ‘TheHatman’, está vendendo bancos de dados de funcionários supostamente roubados da infraestrutura do Microsoft Azure de várias empresas da Fortune 500. Desde 31 de julho, ele publicou anúncios oferecendo dados de grandes organizações, incluindo McDonald’s, Tata Consultancy Services e Vodafone, totalizando 3,64 milhões de registros. O mais recente vazamento, que inclui 1,7 milhão de registros de funcionários do McDonald’s, contém informações como nomes, IDs de funcionários, endereços de e-mail e números de telefone. O atacante afirma ter utilizado técnicas de ‘password spray’ e fadiga de autenticação multifatorial (MFA) para obter acesso. Embora a Tata Consultancy tenha investigado e não encontrado evidências de violação, o impacto potencial desses dados é significativo, pois incluem informações que podem facilitar ataques de engenharia social. A empresa Gap Inc. também declarou que não encontrou evidências de violação e que os dados são antigos e não sensíveis. A análise da Hudson Rock confirmou a autenticidade dos dados, que incluem atributos de diretórios corporativos e contas de serviço. Este incidente destaca a vulnerabilidade das empresas a ataques que exploram credenciais comprometidas, com um impacto potencial significativo na conformidade com a LGPD.

O grupo de cibercriminosos norte-coreano conhecido como Lazarus Group está explorando uma falha de segurança recém-patchada no Microsoft Windows para implantar um backdoor inédito, visando empresas de defesa e aeroespacial na França, Alemanha, Brasil e Índia. Essa atividade faz parte da Operação Dream Job, uma campanha de ciberespionagem e engenharia social que utiliza ofertas de emprego falsas para enganar profissionais e roubar dados sensíveis. A vulnerabilidade explorada, CVE-2026-68820, permite a escalada de privilégios e foi corrigida pela Microsoft em agosto de 2026. Os ataques envolvem o uso de mensagens fraudulentas de recrutadores e a instalação de um visualizador de PDF trojanizado, que carrega um backdoor chamado Troy. O grupo também utiliza técnicas como DLL side-loading e sites falsos que imitam empresas legítimas para distribuir seu malware. A complexidade e a sofisticação da campanha tornam difícil a detecção, pois os atacantes se escondem em infraestruturas legítimas comprometidas, dificultando a identificação do tráfego malicioso. Especialistas alertam que a confiança pode ser falsificada, recomendando que as empresas adotem uma abordagem de segurança de confiança zero e realizem atualizações imediatas.

A integração da inteligência artificial (IA) no cotidiano tem gerado preocupações sobre novos riscos cibernéticos. No entanto, especialistas apontam que as vulnerabilidades enfrentadas pelas organizações permanecem as mesmas de anos atrás, como sistemas não atualizados e controles de identidade fracos. A IA não introduz novas ameaças, mas acelera a identificação e exploração das falhas existentes, tornando-as mais acessíveis a atacantes menos sofisticados. Por exemplo, a automação de tarefas como reconhecimento e movimentação lateral permite que atores maliciosos operem com maior eficiência. Além disso, técnicas conhecidas, como engenharia social, estão sendo aprimoradas com o uso de deepfakes e campanhas de phishing mais escaláveis. A crescente atenção sobre a IA pode desviar o foco das questões fundamentais de segurança, como a gestão de patches e a compreensão das exposições de terceiros. Para mitigar esses riscos, as organizações devem priorizar a remediação de vulnerabilidades conhecidas e adaptar suas práticas de segurança para incluir cenários habilitados por IA. A resposta deve ser disciplinada e focada em uma compreensão clara dos dados críticos e controles de acesso, evitando a tentação de se concentrar apenas em novas ferramentas sem resolver as fraquezas fundamentais.

Hackers associados ao grupo de ameaças russo Sandworm estão atacando administradores de sistemas e profissionais de TI por meio de ofertas de emprego falsas desde pelo menos maio. Um relatório da Equipe de Resposta a Emergências de Computador da Ucrânia (CERT-UA) detalha uma campanha de engenharia social atribuída ao UAC-0145, considerado um subgrupo do Sandworm. Os atacantes se passam por empresas de TI e recrutadores, estudando currículos em sites de emprego e contatando as vítimas diretamente. As conversas são transferidas para o Telegram para agendar entrevistas por vídeo no Zoom, onde os candidatos recebem tarefas técnicas fictícias que exigem conexão a uma VPN corporativa. Em um caso, os atacantes se fizeram passar pela empresa internacional Sopra Steria, utilizando endereços de e-mail semelhantes aos da empresa na Bulgária. Durante a entrevista, instruções adicionais são enviadas por e-mail, incluindo arquivos de configuração para conectar-se a uma VPN ‘corporativa’. O arquivo baixado gera um erro falso, levando a vítima a baixar um cliente modificado chamado ‘SopraVPN’, que contém um código PowerShell malicioso. A CERT-UA recomenda que provedores de telecomunicações e empresas de TI restrinjam o acesso a recursos corporativos a dispositivos gerenciados e monitorados continuamente. O grupo APT44 é conhecido por atacar infraestrutura crítica e entidades governamentais, o que representa um risco significativo para a segurança cibernética.

O Computer Emergency Response Team da Ucrânia (CERT-UA) revelou uma nova campanha de engenharia social realizada por atores de ameaças associados ao Estado russo, visando trabalhadores de TI no país. Os atacantes se disfarçam como recrutadores para induzir as vítimas a instalar malware. A atividade, atribuída ao grupo Sandworm, está em andamento desde maio de 2026. Os atacantes utilizam sites de busca de emprego para contatar candidatos, geralmente administradores de sistemas ou especialistas em TI, em nome de empresas legítimas. Após uma conversa inicial via chat online, a comunicação é transferida para aplicativos de mensagens como o Telegram, onde um suposto gerente de RH realiza uma entrevista. Durante o processo, os candidatos recebem instruções para uma entrevista técnica, que envolve a conexão a uma VPN corporativa através de um cliente VPN modificado, chamado SopraVPN. Este cliente, ao ser instalado, permite que os atacantes executem comandos arbitrários no dispositivo da vítima. O CERT-UA alerta os profissionais de TI sobre a importância de estar atentos a técnicas de engenharia social e recomenda que as organizações permitam acesso a recursos corporativos apenas de dispositivos gerenciados com software de segurança apropriado.

Pesquisadores de segurança da Huntress identificaram uma nova cadeia de infecção focada em macOS, onde ataques do tipo ClickFix são utilizados para distribuir um malware baseado em Go. Este malware é projetado para roubar ativos de criptomoedas, senhas armazenadas no navegador, dados do Apple iCloud Keychain e credenciais em cache. O ataque começa com um comando ClickFix colado no aplicativo Terminal, que executa um script Bash para coletar detalhes do sistema e baixar um payload de malware compatível com a arquitetura do processador da vítima. O malware não só captura senhas, mas também possui uma rotina chamada ‘DRAIN’, que verifica se uma carteira de criptomoedas contém fundos e redireciona parte ou todo o valor para uma carteira controlada pelo atacante. O servidor que hospeda os payloads maliciosos está vinculado ao Aeza Group, um provedor de hospedagem russo sancionado por facilitar atividades criminosas. Este incidente destaca a crescente sofisticação dos ataques de engenharia social e a necessidade de vigilância constante contra ameaças emergentes no ecossistema de segurança cibernética.

A Levi Strauss & Co. (Levi’s) confirmou que hackers utilizaram engenharia social para acessar dados corporativos de três de seus funcionários. O incidente foi reportado à Comissão de Valores Mobiliários dos EUA (SEC), onde a empresa afirmou que sua resposta rápida conseguiu conter o acesso não autorizado e que, até o momento, não houve comprometimento de dados de consumidores. A investigação sobre o ataque ainda está em andamento, e a empresa não registrou interrupções em suas operações comerciais. Levi’s, que conta com 19 mil funcionários e uma receita anual de 6,3 bilhões de dólares, opera mais de 3.300 lojas em todo o mundo. Embora a empresa não tenha identificado publicamente os responsáveis pelo ataque, algumas fontes ligaram o incidente ao grupo UNC6671, conhecido por realizar ataques de phishing por voz. A Levi’s recomenda que os titulares de contas em suas lojas monitorem atividades suspeitas e relatem qualquer anomalia. A empresa acredita que o incidente não terá um impacto material em sua posição financeira.

Pesquisadores de cibersegurança revelaram detalhes sobre uma campanha ativa e multifásica, chamada SMOKE#SCREEN, que utiliza engenharia social com temas de atualizações de software da Adobe e Zoom, revisões de documentos empresariais e utilitários de manutenção de sistema para implantar furtivamente programas de Monitoramento e Gerenciamento Remoto (RMM), como o ConnectWise ScreenConnect. A campanha utiliza uma variedade de ferramentas, incluindo droppers em VBScript, carregadores em arquivos batch e executáveis .NET compilados, todos apontando para um servidor de staging malicioso. Os ataques bem-sucedidos resultam na instalação do agente ScreenConnect, que fornece acesso remoto persistente aos sistemas comprometidos. Os vetores de acesso inicial são avaliados como spear-phishing, onde e-mails contêm scripts ofuscados que realizam verificações de ambiente antes de executar comandos maliciosos. A Securonix recomenda que as organizações restrinjam a execução de arquivos MSI não confiáveis e monitorem tentativas de manipulação de produtos de segurança para mitigar essa ameaça crescente.

Um novo serviço de loader como serviço (LaaS) russo, denominado DOUBLECUP, tem utilizado iscas ClickFix para infiltrar imagens PNG maliciosas no cache do navegador das vítimas, levando à entrega de um trojan de acesso remoto (RAT) chamado DeviceManager e do CountLoader. O ataque começa com a inserção de uma imagem PNG esteganográfica no cache do navegador, que, ao ser acessada, executa um código malicioso. O DOUBLECUP, ativo desde junho de 2026, oferece aos operadores licenças e um cliente para criar campanhas de ataque, permitindo múltiplas operações por licença. Os operadores podem injetar código frontend em suas páginas ClickFix para ativar o malware, que utiliza técnicas de ofuscação e chaveamento ambiental para evitar detecções. O CountLoader e o DeviceManager têm funcionalidades avançadas, como a coleta de metadados do sistema e a comunicação com servidores de comando e controle (C2) via técnicas como DNS tunneling. O uso de contratos inteligentes no Ethereum para resolver a infraestrutura C2 destaca a sofisticação do ataque. A natureza modular e a capacidade de adaptação do malware representam uma ameaça significativa para usuários e empresas, especialmente em um cenário onde a engenharia social é cada vez mais prevalente.

O Relatório de Ameaças da ESET para o primeiro semestre de 2026 revela que os atacantes estão aprimorando a eficiência e escalabilidade de suas operações, adaptando técnicas já estabelecidas a novas plataformas e comportamentos dos usuários. A inteligência artificial (IA) desempenha um papel crescente nesse cenário, com a análise de quase 900 mil habilidades de IA identificando milhares de instâncias suspeitas e maliciosas. Um exemplo notável é o PromptSpy, o primeiro malware Android a utilizar IA generativa, que se adapta a diferentes dispositivos sem depender de comportamentos codificados. Além disso, técnicas de engenharia social, como o ClickFix, estão se expandindo, enquanto campanhas de phishing evoluem com o uso de QR codes, que permitem que links maliciosos sejam ocultados. A atividade de ransomware continua alta, com o uso de ferramentas que desativam software de segurança durante os ataques. Apesar disso, um número crescente de vítimas está optando por não pagar resgates, indicando progresso nas medidas de mitigação. O relatório destaca a importância da confiança como um ativo valioso para os cibercriminosos e sugere que as organizações devem se preparar para um aumento na complexidade e na adaptabilidade das ameaças cibernéticas.

A Amazon associou uma série de ataques à cadeia de suprimentos de software de código aberto, especificamente no ecossistema do Node Package Manager (npm), a hackers da Coreia do Norte. Os ataques, atribuídos ao grupo conhecido como Sapphire Sleet, começaram em março de 2025 com a inserção de um trojan no pacote typo-crypto. Em setembro do mesmo ano, os pacotes debug e chalk foram comprometidos, afetando cerca de 10% dos ambientes em nuvem em apenas duas horas. Em março de 2026, o ataque se intensificou com a invasão do axios, um dos pacotes mais populares do npm, que já havia sido vinculado a atores associados à Coreia do Norte. Os hackers utilizaram engenharia social para acessar os mantenedores dos pacotes e publicaram atualizações maliciosas que foram distribuídas automaticamente. A Amazon destacou que os atacantes estão adotando táticas sofisticadas, como dividir funcionalidades maliciosas entre pacotes aparentemente benignos e explorar nomes de pacotes gerados por assistentes de codificação baseados em IA. A empresa também investiu em iniciativas para proteger o software de código aberto contra esses tipos de ataques, destacando a importância de uma resposta colaborativa na comunidade de segurança.

Atacantes patrocinados pelo Estado russo, identificados como UAC-0145, estão utilizando a estratégia ClickFix para enganar alvos ucranianos a infectarem suas próprias máquinas com malware de roubo de dados. O Computer Emergency Response Team da Ucrânia (CERT-UA) relatou que esses ataques envolvem a inserção de verificações CAPTCHA falsas em sites comprometidos, que instruem os usuários a executar comandos PowerShell. Um exemplo de comando pode baixar e salvar um arquivo VBS no diretório de inicialização do sistema. Além disso, os atacantes utilizam um script PowerShell chamado SCOUTCURL para realizar reconhecimento básico, coletando informações sobre a máquina infectada. Entre os malwares identificados estão FLUIDLEECH, LOADLOOP e um backdoor em Python chamado FREAKYPOLL. Os atacantes também têm explorado dispositivos Android, distribuindo arquivos APK disfarçados como ferramentas de segurança, que contêm um backdoor chamado COWARDDUCK. Essa abordagem marca uma mudança em relação a campanhas anteriores que usavam instaladores trojanizados. O uso da técnica ClickFix demonstra sua eficácia contínua na engenharia social para a entrega de malware, com implicações significativas para a segurança cibernética.

A Microsoft identificou um aumento significativo nos ataques utilizando o malware ACR Stealer, que visa roubar senhas armazenadas em navegadores, tokens de autenticação e documentos sensíveis de clientes corporativos. Entre abril e junho de 2023, os atacantes empregaram métodos de engenharia social, como o ClickFix, além de servidores WebDAV e a ferramenta MSHTA para entregar o malware. O ACR Stealer, uma operação de malware como serviço (MaaS), é considerado uma rebranding do Amatera Stealer. Os ataques ocorrem em duas cadeias de entrega principais: a primeira utiliza um lure ClickFix para executar um DLL malicioso de um compartilhamento WebDAV, enquanto a segunda lança o MSHTA para baixar e executar um downloader PowerShell ofuscado. O objetivo principal é roubar dados sensíveis, incluindo senhas, cookies e documentos do Microsoft 365. A Microsoft recomenda que as organizações implementem filtros e restrinjam o acesso a recursos online desnecessários para mitigar esses riscos.

Pesquisadores da Group-IB descobriram um novo infostealer chamado ClickLock, que tem como alvo usuários do macOS, especialmente na Europa. Este malware utiliza engenharia social agressiva, exibindo repetidamente um prompt de login e encerrando aplicativos essenciais a cada 210 milissegundos, tornando o dispositivo praticamente inoperante. O objetivo é forçar a vítima a fornecer suas credenciais. Uma vez obtidas, o ClickLock exfiltra uma variedade de dados sensíveis, incluindo informações de navegadores, carteiras de criptomoedas, entradas de gerenciadores de senhas e configurações de FTP, utilizando a API do Telegram para enviar os dados. Desde seu surgimento em maio de 2026, o ClickLock foi detectado em 33 países, com a maioria dos casos na Europa, e inicialmente passou despercebido por soluções de segurança. Este incidente destaca a vulnerabilidade dos usuários de macOS a ataques que não requerem exploração técnica, mas sim manipulação psicológica.

Atuando sob a campanha Contagious Interview, hackers associados à Coreia do Norte têm utilizado esteganografia em arquivos de imagem SVG para ocultar cargas maliciosas. A campanha, que visa principalmente desenvolvedores de software, se aproveita de postagens de emprego falsas e desafios de programação para disseminar malware. Os usuários que interagem com essas postagens acabam executando um payload em quatro etapas, que inclui um ladrão de credenciais de navegador e carteiras de criptomoedas, um ladrão de arquivos, um trojan de acesso remoto baseado em Socket.IO e um ladrão de clipboard. A pesquisa da Elastic Security Labs revelou que a campanha foi identificada após ataques a membros de um workspace no Slack, onde mensagens enganosas buscavam desenvolvedores experientes. Os repositórios de código distribuídos contêm código funcional, mas também incorporam código malicioso disfarçado em imagens SVG, evitando a detecção. O malware, chamado OtterCookie, evoluiu para um programa modular capaz de roubar dados de forma abrangente, incluindo informações de carteiras de criptomoedas e extensões de ferramentas de codificação de inteligência artificial. Essa campanha destaca a vulnerabilidade dos desenvolvedores e a necessidade de proteção contra ataques direcionados que podem comprometer toda a cadeia de suprimentos.

Um novo malware para macOS, chamado ClickLock, foi identificado como uma ameaça significativa, projetado para roubar ativos de criptomoeda, credenciais de login e dados de gerenciadores de senhas. A análise da Group-IB revelou que o malware força os usuários a inserir suas senhas de login do sistema, utilizando engenharia social e um loop de interação forçada. O ataque começa com um comando malicioso no Terminal, que ativa uma sequência falsa de verificação de ‘humano’ da Cloudflare, enquanto oculta o cursor e desativa interrupções do teclado. Caso o usuário cancele a entrada da senha, o malware se torna persistente através de LaunchAgents, reiniciando a cada login e exibindo um diálogo de senha até que o usuário ceda. O ClickLock também coleta dados de navegadores, senhas armazenadas e informações de carteiras de criptomoedas, enviando tudo para o atacante via Telegram. A detecção do malware é dificultada por sua capacidade de se auto-excluir após a execução e por estar hospedado em domínios legítimos comprometidos. Para se proteger, os usuários devem evitar comandos desconhecidos no Terminal e, se necessário, forçar o desligamento do sistema. A Group-IB alerta que a janela de detecção é estreita, exigindo atenção redobrada dos usuários e administradores de sistemas.

Recentemente, uma operação global contra fraudes resultou na prisão de 5.811 indivíduos e na interceptação de $293 milhões em ativos ilícitos, destacando a gravidade das fraudes de engenharia social. A operação, chamada First Light 2026, envolveu 97 países e revelou mais de 142.000 vítimas em todo o mundo. Além disso, uma campanha de typosquatting afetou pacotes npm e PyPI, visando SDKs de aplicativos de pagamento como Paysafe e Skrill, com o objetivo de roubar informações sensíveis. Outra vulnerabilidade crítica foi identificada no Esri ArcGIS Server, permitindo acesso não autenticado a arquivos sensíveis, com uma pontuação CVSS de 9.8. A pesquisa também revelou técnicas avançadas de injeção de código, como o Process Parameter Poisoning, que evita a detecção de atividades maliciosas. O alerta sobre a coleta de dados sensíveis por versões do Claude Code na China e uma campanha de phishing que utiliza chamadas do Microsoft Teams para disseminar o malware EtherRAT também foram destacados. Esses incidentes ressaltam a necessidade urgente de vigilância e mitigação de riscos em ambientes corporativos.

A Operação First Light 2026, coordenada pela INTERPOL, resultou na prisão de 5.811 suspeitos e na apreensão de US$ 293 milhões em ativos ilícitos em 97 países. Realizada entre 15 de janeiro e 30 de abril, a operação focou em fraudes de engenharia social, como comprometimento de e-mails empresariais, sextorsão e golpes de investimento, além de atividades de lavagem de dinheiro. Durante a operação, mais de 142.000 vítimas foram identificadas, e 31.014 contas bancárias foram bloqueadas. A INTERPOL utilizou mecanismos como o I-GRIP para interromper fluxos financeiros ilícitos. A operação é um reflexo do aumento das fraudes transnacionais, que afetam indivíduos, empresas e governos. A ação segue outras operações, como a Synergia II, que também resultaram em prisões e na desmantelação de infraestruturas de cibercrime. Tomonobu Kaya, diretor do Centro de Crimes Financeiros e Anticorrupção da INTERPOL, destacou a necessidade de uma estratégia coordenada entre os países para combater esses crimes, que exploram a psicologia humana para manipular as vítimas.

O Relatório de Custo de uma Violação de Dados da IBM de 2025 revelou que 16% das violações analisadas envolveram o uso de ferramentas de inteligência artificial (IA) por atacantes, principalmente para ataques de phishing e de impersonação com deepfake. O serviço de atendimento ao cliente (service desk) se torna um alvo natural para engenharia social, pois um atacante que convence um agente de que é um usuário legítimo pode contornar controles técnicos. A IA facilita essa tarefa, tornando as abordagens mais personalizadas e convincentes. O processo de integração de novos funcionários é especialmente vulnerável, já que os agentes de suporte podem não ter familiaridade com os novos colaboradores. Para mitigar esses riscos, é essencial que os agentes tenham métodos mais robustos de verificação de identidade antes de conceder acesso a credenciais ou aprovar mudanças sensíveis. O uso de soluções como o Specops Secure Onboarding pode ajudar a proteger o processo de integração, garantindo que os novos funcionários criem senhas seguras sem que credenciais sejam enviadas diretamente, além de implementar verificações biométricas para evitar impersonações. Com a crescente sofisticação dos ataques, a proteção do service desk se torna uma prioridade crítica para as organizações.

Pesquisadores de cibersegurança identificaram uma nova cadeia de ataque de malware em múltiplas etapas, chamada VEIL#DROP, que utiliza engenharia social e páginas do Blogger para disseminar um ladrão de informações conhecido como PureLogs. O ataque começa com um arquivo JavaScript disfarçado, que executa comandos PowerShell para baixar um payload adicional hospedado em um blog. Esse método permite que os atacantes contornem defesas baseadas em reputação, aproveitando a infraestrutura confiável do Google. O payload baixado cria a ilusão de que um documento PDF está sendo aberto, enquanto a infecção ocorre em segundo plano. O malware é projetado para ser altamente evasivo, utilizando técnicas como mutação em tempo de execução e geração dinâmica de estágios, dificultando a detecção por soluções antivírus tradicionais. Além disso, o uso de binários assinados pela Microsoft permite que os atacantes realizem suas atividades sem levantar suspeitas. A infecção pode ter consequências graves, permitindo que dados sensíveis sejam extraídos e utilizados para comprometer ainda mais o ambiente alvo. Essa combinação de técnicas demonstra um esforço deliberado para evitar a detecção e manter a furtividade durante todo o ciclo de infecção.

Um adolescente de 19 anos, Peter Stokes, foi extraditado da Finlândia para os Estados Unidos, onde enfrenta acusações de conspiração, invasão de computadores e fraude, conforme anunciado pelo Departamento de Justiça dos EUA. Stokes, que possui cidadania dupla dos EUA e Estônia, foi preso em abril sob um Aviso Vermelho da Interpol e compareceu a um tribunal federal em Chicago no dia 30 de junho, onde foi mantido sob custódia. Ele é acusado de fazer parte do grupo de hackers Scattered Spider, conhecido por ataques a cassinos, varejistas e companhias aéreas. O grupo utiliza engenharia social para obter acesso a sistemas, enganando funcionários de suporte técnico para que resetem senhas. Em um dos ataques, Stokes e outros invadiram uma joalheria de luxo, roubaram dados e exigiram um resgate de cerca de 8 milhões de dólares em criptomoeda. O caso de Stokes é parte de uma série de prisões relacionadas ao grupo, que já está associado a mais de 100 intrusões em redes, resultando em pagamentos de resgate superiores a 100 milhões de dólares. Especialistas em segurança alertam que a vulnerabilidade principal reside nos serviços de suporte técnico, e recomendações incluem a implementação de verificações de identidade mais rigorosas.

O ClickFix, uma técnica de engenharia social que induz usuários a executar malware, evoluiu significativamente, utilizando servidores API para entregar comandos maliciosos disfarçados. A pesquisa do especialista em segurança Bert-Jan Pals revelou que as páginas fraudulentas, que simulam CAPTCHAs ou erros, agora extraem comandos de servidores backend, oferecendo a cada visitante um malware diferente. Essa abordagem, que evita a detecção por antivírus tradicionais, resultou em um aumento de 517% nos casos de acesso inicial entre 2024 e 2025, conforme medido pela ESET. Além disso, uma nova técnica permite que o malware seja baixado silenciosamente para a pasta de Downloads, utilizando um comando aparentemente inofensivo que contorna a varredura de scripts do Windows. O ClickFix não é mais uma ferramenta exclusiva de criminosos, tendo sido associado a grupos apoiados por estados, como APT28 e MuddyWater. A pesquisa destaca a importância de monitorar cadeias de processos e não apenas o texto da área de transferência para detectar essas ameaças. O ClickFix representa um risco crescente, especialmente com sua capacidade de se adaptar rapidamente às defesas dos usuários.

A Microsoft anunciou uma nova política de administração para o Teams, permitindo que organizadores impeçam bots de terceiros de ingressar em reuniões sem aprovação. Essa funcionalidade, que estará disponível em diversas plataformas, visa aumentar a segurança e o controle sobre a participação de bots, que podem ser utilizados para tarefas automatizadas, como anotações e transcrições. Ao ativar a política, o Teams detecta automaticamente bots suspeitos, colocando-os na sala de espera e solicitando a confirmação do organizador para sua entrada. Mesmo em reuniões onde a entrada direta é permitida, bots identificados ainda precisarão de aprovação. Além disso, a Microsoft planeja implementar controles adicionais, como listas de permissão para bots aprovados e relatórios administrativos sobre a presença de bots. A partir de dezembro, administradores poderão bloquear usuários externos do Teams para evitar abusos por grupos de cibercrime, incluindo ataques de engenharia social. Essas medidas são parte de um esforço contínuo da Microsoft para proteger seus usuários contra ameaças emergentes, como fraudes e ataques de phishing, que têm se intensificado na plataforma.

O FBI e a CISA atualizaram um alerta sobre uma campanha de phishing direcionada a contas do Signal, associada a grupos de inteligência russa. Os atacantes agora estão persuadindo as vítimas a fornecerem sua Chave de Recuperação de Backup do Signal. Uma vez que a chave é entregue, o invasor pode restaurar o backup da conta, acessar o histórico de mensagens privadas e de grupo, e assumir o controle da conta. A chave permanece válida mesmo se a vítima criar uma nova conta com o mesmo número de telefone. Para mitigar o risco, os usuários devem gerar uma nova chave nas configurações do Signal, o que invalidará a antiga. O alerta também menciona que a campanha já comprometeu milhares de contas globalmente, visando indivíduos de alto valor, como oficiais do governo e jornalistas. As mensagens de phishing se disfarçam como suporte do Signal, solicitando códigos de verificação ou a chave de recuperação. O FBI também oferece recompensas por informações sobre os grupos envolvidos, identificados como UNC5792 e UNC4221. A situação destaca a importância da segurança em aplicativos de mensagens e a necessidade de vigilância contra engenharia social.

A engenharia social aplicada em service desks continua a ser uma das táticas mais eficazes para invasores que buscam acesso a sistemas corporativos. Os ataques de 2025 contra grandes varejistas britânicos, como Marks & Spencer e Harrods, destacaram a vulnerabilidade desse ponto de entrada. No caso da M&S, os atacantes se passaram por um funcionário e convenceram um agente de suporte terceirizado a redefinir credenciais, permitindo acesso a sistemas internos. Recentemente, a Carnival Corporation também relatou um incidente de cibersegurança em que um funcionário foi enganado por um atacante. O FBI alertou sobre o grupo Silent Ransom, que se disfarça de suporte técnico para persuadir funcionários a participar de sessões de acesso remoto. Esses ataques são facilitados pela vulnerabilidade humana, acesso a credenciais e a capacidade de contornar defesas técnicas. Para se proteger, as organizações devem implementar verificações rigorosas de identidade, treinar equipes de suporte para reconhecer táticas de engenharia social e monitorar atividades incomuns. A situação é alarmante, pois a maioria dos ataques bem-sucedidos ocorre sem disparar alertas de segurança, evidenciando a necessidade urgente de medidas de proteção.

A Copa do Mundo de 2026 trouxe um aumento significativo nos golpes virtuais, especialmente aqueles relacionados à venda de ingressos e apostas. Criminosos estão utilizando técnicas de engenharia social para manipular usuários, criando páginas falsas que imitam sites legítimos e enviando mensagens enganosas via WhatsApp e SMS. As fraudes mais comuns incluem a clonagem de sites oficiais, ofertas de ingressos a preços muito baixos e aplicativos falsos que prometem acesso gratuito a jogos. Segundo a Hexa Security, o ambiente de grandes eventos esportivos é propício para essas fraudes, devido ao alto volume de transações financeiras e ao engajamento do público. Para se proteger, especialistas recomendam que os consumidores verifiquem a autenticidade dos sites digitando os endereços manualmente e evitem links recebidos por mensagens. Além disso, a utilização de senhas fortes e a ativação da autenticação em dois fatores são medidas essenciais para proteger dados financeiros. Empresas também devem estar atentas, pois se tornam alvos frequentes durante esses eventos, necessitando revisar permissões de acesso e investir em monitoramento contínuo.

Um novo relatório da Check Point Research revela que um ator de ameaça desconhecido está utilizando postagens pagas em sites de notícias legítimos para promover malware. O foco principal da campanha é um ‘clipboard hijacker’ de criptomoedas, disfarçado como bots de sniper e preditores de jogos. O malware, desenvolvido em Rust, ataca sistemas Windows e macOS, monitorando a área de transferência para substituir endereços de carteiras de criptomoedas por endereços controlados pelo atacante. Para criar uma falsa reputação, o ator utiliza uma página de phishing no WordPress, contas falsas no GitHub e SourceForge, além de um canal no YouTube com mais de 91 mil assinantes. A manipulação de plataformas como VirusTotal e SourceForge, onde contagens de downloads foram artificialmente inflacionadas, visa aumentar a confiança dos usuários em arquivos maliciosos. A campanha destaca uma nova abordagem de engenharia social, onde a construção de uma reputação falsa se torna uma estratégia central para enganar as vítimas, especialmente aqueles envolvidos com criptomoedas e jogos online.

A empresa de saúde digital iRhythm Holdings anunciou uma violação de dados após hackers terem roubado informações pessoais e de saúde de pacientes armazenadas em aplicações de negócios hospedadas por terceiros. A iRhythm, que fornece serviços de monitoramento cardíaco, analisou mais de 2 bilhões de horas de dados de batimentos cardíacos de mais de 12 milhões de pacientes. Em um comunicado à Comissão de Valores Mobiliários dos EUA (SEC), a empresa informou que descobriu o incidente em 8 de junho de 2026 e iniciou uma investigação com especialistas em cibersegurança. Os atacantes, que se comunicaram com a empresa em 9 de junho, exigiram um resgate para não divulgar as informações roubadas. A iRhythm confirmou que dados foram exfiltrados, mas não encontrou evidências de que a violação afetou seus produtos ou a segurança dos pacientes. A empresa também destacou que não armazena informações financeiras de pacientes e que o acesso foi realizado através de engenharia social. O incidente ressalta a vulnerabilidade de dados sensíveis em aplicações de terceiros e a necessidade de medidas de segurança robustas.

Pesquisadores de cibersegurança revelaram atividades fraudulentas direcionadas a usuários no Oriente Médio e Norte da África, utilizando contas falsas no Facebook que se passavam por políticos e organizações confiáveis. Essas contas promoviam ofertas enganosas, como pacotes de internet móvel gratuitos e compensações financeiras, levando as vítimas a clicar em links que redirecionavam para uma infraestrutura de phishing. A análise da Group-IB identificou que essas campanhas estavam ligadas à plataforma Sniper Dz, um serviço de phishing como serviço (PhaaS) que foi desmantelado recentemente. Os ataques utilizavam engenharia social, fazendo com que os usuários acreditassem que estavam acessando ofertas legítimas, mas, na verdade, eram direcionados a páginas que solicitavam permissões de notificações do navegador, permitindo que os atacantes enviassem mensagens indesejadas. Além disso, técnicas como manipulação do histórico do navegador e redirecionamentos em abas foram empregadas para manter as vítimas presas na rede de fraudes. A campanha destaca a crescente dependência de tecnologias web legítimas para operações fraudulentas, em vez de malware tradicional.

Uma operação liderada pela INTERPOL, chamada Operação Ramz, resultou na desarticulação da plataforma de phishing conhecida como Sniper Dz, que atuava há mais de uma década. Entre outubro de 2025 e fevereiro de 2026, autoridades de 13 países da região do Oriente Médio e Norte da África realizaram 201 prisões, incluindo Guedz, o principal desenvolvedor da plataforma. Sniper Dz, que também se rebatizou como Joker Dz e Storm Dz, era uma plataforma de phishing como serviço (PhaaS) que coletou mais de 45.000 registros de vítimas. A operação não apenas desativou o site da plataforma, mas também apreendeu hardware contendo softwares e scripts de phishing.

O governo francês confirmou uma violação de segurança na plataforma de mensagens criptografadas Tchap, que impactou as contas de mais de 73 mil funcionários do setor público. A DINUM, diretoria de assuntos digitais do governo francês, revelou que um ator de ameaças acessou a plataforma por meio de uma conta de usuário comprometida, levando à notificação da CNIL, a autoridade de proteção de dados da França. Embora as conversas privadas sejam criptografadas, os dados compartilhados em salas de chat públicas não possuem essa proteção, permitindo que o invasor coletasse nomes, endereços de e-mail e informações sobre as organizações dos usuários. O ataque, que pode ter exposto dados de cerca de 9% dos usuários registrados, foi atribuído a um ataque de engenharia social. O invasor alegou ter coletado quase 650 mil mensagens e mais de 13,5 GB de documentos e arquivos de mídia. A Tchap, desenvolvida pela DINUM em colaboração com a ANSSI, é uma ferramenta de colaboração descentralizada e se tornou o aplicativo padrão para comunicações de trabalho entre servidores públicos desde agosto de 2025.

Em 2025, o roubo de credenciais cresceu 160%, representando um em cada cinco vazamentos de dados, à medida que atacantes utilizam técnicas impulsionadas por inteligência artificial para contornar defesas tradicionais. A verificação de identidade tornou-se um desafio crítico para as equipes de segurança, que precisam garantir a segurança sem criar atritos para usuários legítimos. Os processos de integração fracos e a dependência excessiva de credenciais estáticas oferecem oportunidades para os atacantes. Para fortalecer a verificação de identidade, o artigo sugere cinco práticas recomendadas: 1) Implementar autenticação multifatorial (MFA) robusta e resistente a fadiga; 2) Proteger o serviço de atendimento ao cliente contra engenharia social; 3) Integrar a confiança do dispositivo nas decisões de verificação de identidade; 4) Considerar o uso de chaves de acesso (passkeys); e 5) Proteger dados biométricos adequadamente. Essas abordagens visam modernizar os controles de verificação de identidade e aumentar a resiliência das organizações contra ataques cibernéticos.

A DINUM, diretoria de assuntos digitais do governo francês, alertou sobre uma violação na plataforma de mensagens criptografadas Tchap, utilizada exclusivamente pelo setor público da França. O incidente ocorreu quando um ator de ameaça obteve acesso à plataforma através de uma conta de usuário comprometida. A Tchap, desenvolvida em 2018 em colaboração com a ANSSI, já conta com mais de 300 mil usuários mensais e foi adotada como a única ferramenta de comunicação para servidores públicos após um decreto do Primeiro-Ministro François Bayrou em agosto de 2025. A ANSSI detectou a violação e notificou a CNIL, a autoridade de proteção de dados da França, devido à possível exposição de dados pessoais. O invasor alegou ter realizado um ataque de engenharia social e, segundo suas declarações, obteve acesso a 13,5 GB de documentos e informações de mais de 73 mil contas, incluindo e-mails e metadados. A DINUM bloqueou a conta responsável e continua a investigação para entender a extensão da violação e os dados acessados. O incidente destaca a importância de manter a segurança em plataformas de comunicação, especialmente em ambientes governamentais.

Pesquisadores de cibersegurança revelaram uma campanha de extorsão financeira que visou diversas organizações nos setores profissional, jurídico e financeiro dos EUA entre janeiro e maio de 2026. A atividade foi atribuída ao grupo de ameaças UNC3753, também conhecido como Chatty Spider e Silent Ransom Group (SRG). Os atacantes utilizam técnicas de engenharia social e vishing para obter acesso remoto a ambientes corporativos, se passando por suporte técnico. Eles convencem as vítimas a compartilhar telas e instalar softwares de monitoramento remoto. Uma vez dentro, os criminosos localizam e exfiltram informações sensíveis, como acordos legais e dados financeiros. Em alguns casos, os atacantes também realizaram intrusões físicas, se passando por técnicos de TI para roubar dados diretamente dos sistemas das vítimas. O grupo tem pressionado as vítimas a pagarem resgates sob a ameaça de divulgar as informações roubadas. A campanha destaca a vulnerabilidade de empresas que lidam com dados sensíveis e a eficácia das táticas de engenharia social em contornar medidas de segurança tradicionais.

O relatório Verizon Data Breach Investigations Report (DBIR) de 2026 destaca a crescente preocupação com o uso não autorizado de inteligência artificial (IA) nas empresas, conhecido como Shadow AI. Este fenômeno, que representa um aumento de quatro vezes em relação ao ano anterior, ocorre quando funcionários utilizam ferramentas de IA, como ChatGPT, para tarefas cotidianas, muitas vezes sem a aprovação da organização. O relatório revela que 67% dos usuários acessam serviços de IA em dispositivos corporativos através de contas pessoais, expondo dados sensíveis a riscos significativos.

A Carnival Corporation, maior operadora de cruzeiros do mundo, confirmou um vazamento de dados que afetou cerca de 6 milhões de pessoas, reivindicado pelo grupo de extorsão ShinyHunters em abril de 2026. O incidente ocorreu após um ataque de engenharia social que permitiu a um ator não autorizado acessar sistemas de TI da empresa. A companhia notificou 5.995.277 clientes sobre o roubo de dados, que incluiu informações pessoais como nomes, datas de nascimento, endereços de e-mail e detalhes do programa de fidelidade Mariner Society, da Holland America, uma das marcas do grupo. Embora a Carnival tenha agido rapidamente para bloquear a atividade não autorizada e iniciado uma investigação com especialistas em segurança, o grupo ShinyHunters alegou ter roubado mais de 8,7 milhões de registros. Este não é o primeiro incidente de segurança da Carnival, que já enfrentou outros vazamentos em 2020 e 2021, expondo informações pessoais e financeiras de clientes e funcionários. O FBI aconselhou as vítimas a não pagarem os resgates exigidos, pois isso não garante que os atacantes não tentem extorquir novamente.

Uma nova campanha de cibersegurança, atribuída ao ator de ameaças JINX-0164, tem como alvo organizações de criptomoedas, utilizando engenharia social e malware específico para macOS. Os pesquisadores da Wiz identificaram que o grupo, ativo desde meados de 2025, emprega técnicas sofisticadas para enganar desenvolvedores, oferecendo oportunidades de emprego falsas através de perfis verificados no LinkedIn. Os alvos são direcionados a um domínio fraudulento que simula um provedor de teleconferência, onde são induzidos a baixar um programa malicioso.

A autenticação multifator (MFA) foi criada para aumentar a segurança das contas, mas um novo ataque conhecido como ‘bombardeio de prompts MFA’ está se tornando uma ameaça real. Nesse ataque, os invasores não precisam roubar o segundo fator de autenticação; eles apenas precisam que o usuário o forneça. O ataque envolve três elementos principais: credenciais de conta válidas, um portal de login que utiliza MFA baseada em push e uma vítima que recebe repetidamente solicitações de login. Os atacantes tentam enganar ou cansar a vítima até que ela aprove a solicitação. Um exemplo notável desse ataque ocorreu na Cisco em 2022, onde um invasor conseguiu acessar a rede da empresa após enganar um funcionário para aceitar um prompt de MFA. Para mitigar esses riscos, as organizações devem considerar fatores de MFA mais resistentes ao phishing, bloquear senhas comprometidas e adicionar sinais de risco ao processo de login. Embora o MFA continue sendo uma ferramenta importante, é crucial revisar as práticas atuais para garantir uma proteção eficaz contra essas novas táticas de ataque.

O malware AMOS, também conhecido como Atomic macOS Stealer, representa uma ameaça persistente para dispositivos macOS, explorando comportamentos comuns dos usuários em vez de vulnerabilidades complexas. Recentemente, a Sophos MDR identificou que o AMOS utiliza engenharia social para induzir os usuários a executar comandos maliciosos no Terminal, como parte de uma estratégia de ataque que se tornou mais comum em campanhas de infostealers no macOS. Em 2025, o AMOS foi responsável por quase 40% das atualizações de proteção para macOS da Sophos, evidenciando seu impacto crescente. O malware coleta informações sensíveis, como senhas do Keychain e credenciais de navegadores, armazenando-as em arquivos ocultos. Além disso, ele pode instalar um LaunchDaemon para garantir sua execução após reinicializações do sistema. Apesar de sua gravidade, a eficácia do AMOS pode ser limitada pela necessidade de consentimento do usuário para a execução do comando malicioso. A Apple tem implementado melhorias em suas ferramentas de segurança, o que pode reduzir a eficácia do AMOS em atualizações futuras do sistema operacional.

Nos últimos anos, as operações de roubo de criptomoedas evoluíram significativamente, passando de páginas de phishing isoladas para uma economia subterrânea estruturada em torno de plataformas conhecidas como ‘Drainer-as-a-Service’ (DaaS). Diferente das operações tradicionais de malware, os draineres utilizam engenharia social para atrair vítimas a sites falsos de criptomoedas, NFTs ou DeFi, onde são induzidas a conectar suas carteiras e aprovar transações maliciosas. Uma análise de dados coletados de fóruns underground revelou que essas operações estão se profissionalizando, com foco em crescimento de afiliados e automação. O modelo DaaS permite que operadores mantenham a infraestrutura de drenagem enquanto afiliados geram tráfego por meio de links de phishing e contas de redes sociais comprometidas. O estudo também destacou a resiliência operacional do Lucifer, um exemplo de DaaS, que se adaptou a banimentos e suspensões de serviços, utilizando descentralização para manter suas operações. A popularidade dos draineres se deve à natureza líquida e rápida das criptomoedas, além da confusão que muitos usuários têm em relação às permissões de carteira, tornando-os alvos fáceis para ataques. Essa situação representa um risco significativo para organizações que lidam com criptomoedas, exigindo atenção especial de equipes de segurança.

Nesta semana, o cenário de cibersegurança revela uma crescente preocupação com ataques que exploram elementos considerados confiáveis, como atualizações e aplicativos. O evento Pwn2Own Berlin 2026 destacou a descoberta de 47 vulnerabilidades zero-day em produtos amplamente utilizados, resultando em prêmios significativos para pesquisadores de segurança. Além disso, o NCSC do Reino Unido alertou sobre os riscos associados ao uso de inteligência artificial em ambientes corporativos, enfatizando a necessidade de controles de segurança rigorosos. No âmbito internacional, o governo polonês recomendou que seus oficiais deixassem de usar o Signal, devido a ataques de engenharia social, e a polícia holandesa lançou uma campanha para identificar suspeitos de fraudes. O ransomware Gunra também está em ascensão na Coreia do Sul, enquanto a vulnerabilidade no Composer, um gerenciador de dependências PHP, exige atualizações urgentes. Por fim, campanhas de intrusão baseadas em IA estão se intensificando na América Latina, destacando a evolução das táticas de ataque. Esses eventos sublinham a necessidade de vigilância constante e atualização das práticas de segurança.

Um aplicativo que imitava o oficial da Receita Federal acumulou mais de 16 mil downloads em lojas não oficiais antes de ser removido. Segundo a INGENI, divisão da Redbelt Security, durante a temporada de Imposto de Renda 2026, foram identificadas 80 páginas falsas, 26 perfis fraudulentos em redes sociais e cerca de 10 aplicativos maliciosos relacionados ao tema fiscal. Wagner Farias, engenheiro de ameaças da INGENI, destaca que o volume de downloads não reflete diretamente o número de vítimas, mas indica a amplitude da campanha. Os criminosos evitam lojas oficiais, como Google Play e App Store, que utilizam inteligência artificial para detectar comportamentos suspeitos. A engenharia social é o principal gatilho do golpe, aproveitando a urgência da entrega da declaração. A inteligência artificial também tem facilitado a criação de aplicativos falsos com alta fidelidade visual. O malware pode atuar como infostealer, roubando credenciais, ou como trojan de acesso remoto, permitindo controle do dispositivo. Para quem caiu no golpe, recomenda-se restaurar o dispositivo e trocar credenciais em outro aparelho. A prevenção envolve desconfiar de domínios que não terminam em gov.br.

O grupo de ameaças conhecido como Storm-2949 está realizando ataques direcionados a ambientes de produção do Microsoft 365 e Azure, utilizando aplicações e recursos administrativos legítimos para roubar dados sensíveis. A Microsoft identificou que o grupo emprega engenharia social para obter credenciais do Microsoft Entra ID de usuários com funções privilegiadas, como pessoal de TI e líderes seniores. Os atacantes abusam do fluxo de Redefinição de Senha de Autoatendimento (SSPR), enganando as vítimas para que aprovem solicitações de autenticação multifator (MFA). Após comprometer as contas, eles utilizam a API Microsoft Graph e scripts em Python para explorar usuários, funções e aplicações, acessando serviços como OneDrive e SharePoint para buscar informações críticas, como configurações de VPN e arquivos operacionais de TI.