Phishing

Nos últimos anos, a segurança das credenciais tem se tornado uma preocupação crescente para organizações em todo o mundo. Um relatório da Verizon de 2025 revelou que 22% das violações de dados em 2024 foram causadas por credenciais vazadas, superando técnicas de phishing e exploração de software. Em 2025, a Cyberint, uma empresa de gestão de riscos, registrou um aumento de 160% nas credenciais vazadas em comparação ao ano anterior. Este cenário é agravado pela facilidade de roubo de credenciais, com malwares como infostealers permitindo que atacantes de baixa qualificação coletem dados de login de forma automatizada. As credenciais vazadas não só são utilizadas para invasões diretas de contas, mas também podem resultar em fraudes financeiras, campanhas de spam e extorsão. A Cyberint utiliza sistemas automatizados para monitorar uma ampla variedade de fontes e detectar essas exposições em larga escala, correlacionando padrões de domínio e reutilização de senhas. A falta de monitoramento em dispositivos pessoais de funcionários representa um desafio adicional, pois 46% das credenciais vazadas estavam associadas a dispositivos desprotegidos. Apesar de políticas de senhas e autenticação de múltiplos fatores, o roubo de credenciais continua sendo uma probabilidade real. Portanto, a capacidade de detectar e remediar rapidamente exposições é crucial para a defesa cibernética das organizações. O relatório completo oferece insights sobre como as empresas podem operacionalizar essa inteligência para proteger suas credenciais e reduzir riscos.

Pesquisadores de cibersegurança estão alertando sobre uma nova campanha que utiliza ferramentas legítimas de construção de sites com inteligência artificial generativa, como DeepSite AI e BlackBox AI, para criar páginas de phishing que imitam agências governamentais brasileiras. Essas páginas falsas visam enganar usuários desavisados a realizarem pagamentos indevidos através do sistema de pagamento PIX, conforme reportado pela Zscaler ThreatLabz. Os sites fraudulentos imitam o Departamento de Trânsito e o Ministério da Educação, coletando informações pessoais sensíveis, como CPF e endereços residenciais, sob o pretexto de realizar exames psicométricos ou garantir uma oferta de emprego. Para aumentar a legitimidade, as páginas de phishing coletam dados de forma progressiva, imitando o comportamento de sites autênticos. Análises do código fonte revelaram características de ferramentas de IA, como comentários excessivamente explicativos e elementos não funcionais. Além disso, a campanha de phishing valida os CPFs por meio de uma API controlada pelos atacantes. Em outra frente, o Brasil enfrenta uma campanha de malspam que distribui o trojan Efimer, disfarçado como comunicações de advogados, para roubar criptomoedas. O malware propaga-se por sites WordPress comprometidos e e-mails falsos, utilizando técnicas variadas para coletar informações e infectar dispositivos. Com cerca de 5.015 usuários afetados, a maioria das infecções está concentrada no Brasil e em outros países. Os pesquisadores alertam que, embora os ataques atuais estejam gerando quantias relativamente pequenas, eles podem resultar em danos mais significativos no futuro.

Pesquisadores de cibersegurança estão soando o alarme sobre uma campanha de phishing que utiliza ferramentas de inteligência artificial generativa para criar páginas falsas que imitam agências do governo brasileiro. Essas páginas enganosas, que se passam por sites do Departamento Estadual de Trânsito e do Ministério da Educação, visam coletar informações pessoais sensíveis e induzir usuários a realizar pagamentos indevidos através do sistema PIX. A campanha é impulsionada por técnicas de envenenamento de SEO, aumentando a visibilidade dos sites fraudulentos e, consequentemente, o risco de sucesso dos ataques.

O vazamento de credenciais corporativas se tornou uma ameaça crescente e alarmante, com um aumento de 160% em 2025 em comparação ao ano anterior, segundo dados da Cyberint. Este fenômeno, impulsionado por automação e acessibilidade, representa um risco significativo para as organizações, uma vez que credenciais vazadas são frequentemente utilizadas para invasões de contas, campanhas de phishing e extorsão. A facilidade com que atacantes de baixo nível podem acessar e explorar essas informações, muitas vezes vendidas em mercados clandestinos, destaca a urgência de medidas preventivas robustas para mitigar esse perigo.

Em junho, o Google foi vítima de um ataque sofisticado de engenharia social, conhecido como vishing, conduzido pelo grupo de ameaças UNC6040. Os criminosos conseguiram acessar uma instância do Salesforce da empresa, roubando dados de clientes de pequenas e médias empresas. Este vazamento de dados representa uma violação grave, com o potencial de expor informações sensíveis e impactar a confiança dos clientes. O Google respondeu rapidamente ao incidente, realizando uma análise de impacto e implementando medidas de mitigação para conter a ameaça. No entanto, a situação destaca a necessidade urgente de reforçar as defesas contra ataques de engenharia social, que continuam a evoluir em complexidade e sofisticação. Organizações devem estar em alerta máximo e adotar práticas de segurança robustas para proteger seus dados contra tais violações.

Uma alarmante campanha de phishing foi identificada entre junho e julho de 2025, onde cibercriminosos exploraram serviços de encapsulamento de links da Proofpoint e Intermedia para mascarar URLs maliciosas. Essa técnica subverte tecnologias projetadas para proteger usuários, transformando domínios confiáveis em vetores de ataque, e destaca uma vulnerabilidade crítica na arquitetura de segurança de e-mail, onde a confiança implícita em domínios reconhecidos pode ser explorada para roubo de credenciais do Microsoft 365.

As senhas tradicionais têm sido uma vulnerabilidade significativa na segurança cibernética, frequentemente exploradas em violações de dados e ataques de phishing. A introdução das passkeys, desenvolvidas pela FIDO Alliance e apoiadas por gigantes como Apple, Google e Microsoft, representa uma abordagem técnica e urgente para mitigar esses riscos. Utilizando criptografia de chave pública, as passkeys eliminam a necessidade de compartilhar segredos, protegendo contra erros humanos e sites fraudulentos. A chave privada nunca deixa o dispositivo do usuário, garantindo uma camada adicional de segurança contra interceptações e comprometimentos.