Phishing

Hackers estão utilizando notificações falsas do LinkedIn, disfarçadas como alertas de emprego, para enganar usuários e obter informações sensíveis de login. Pesquisas da Cofense revelam que esses ataques se aproveitam da urgência e curiosidade dos destinatários, levando-os a clicar em links maliciosos. Os e-mails fraudulentos frequentemente imitam comunicados de recrutadores de empresas respeitáveis, utilizando logotipos e formatações convincentes. Domínios como ‘inedin[.]digital’ são criados para parecerem legítimos, aumentando a confiança dos usuários. Além disso, os atacantes personalizam as mensagens com dados pessoais disponíveis publicamente, como endereços residenciais, para aumentar a credibilidade. A análise rápida desses ataques é crucial, pois atrasos podem resultar em credenciais comprometidas. Especialistas recomendam que os usuários verifiquem a autenticidade das notificações do LinkedIn e evitem clicar em links suspeitos. A implementação de softwares antivírus atualizados e a verificação cuidadosa de URLs são medidas essenciais para proteger contra esses ataques.

Recentemente, grupos de ameaças associados à Coreia do Norte têm utilizado o GitHub como infraestrutura de comando e controle (C2) em ataques direcionados a organizações na Coreia do Sul. Segundo a Fortinet, a cadeia de ataque começa com arquivos de atalho do Windows (LNK) ofuscados, que são distribuídos por meio de e-mails de phishing. Esses arquivos iniciam o download de um documento PDF falso e um script PowerShell que opera em segundo plano. O script realiza verificações para evitar a análise, terminando sua execução se detectar processos relacionados a máquinas virtuais ou ferramentas forenses. Caso contrário, ele extrai um script Visual Basic e estabelece persistência, garantindo que o payload do PowerShell seja executado automaticamente a cada 30 minutos. Além disso, o script coleta informações do sistema comprometido e as exfiltra para um repositório do GitHub, utilizando um token de acesso codificado. Essa técnica de usar plataformas confiáveis como o GitHub para controle de malware é uma estratégia que permite aos atacantes se camuflar e manter controle sobre os sistemas infectados. O uso de ferramentas nativas do Windows, em vez de malware personalizado, aumenta a eficácia dos ataques, reduzindo a taxa de detecção. A situação é preocupante, pois demonstra a evolução das táticas de grupos patrocinados pelo estado, como o Kimsuky, que também têm explorado outras técnicas de infecção baseadas em LNK.

Recentemente, uma nova modalidade de golpe, conhecida como vishing, tem enganado usuários do aplicativo Caixa Tem, utilizado para serviços sociais e transações bancárias. Os criminosos realizam ligações simulando ser funcionários da Caixa Econômica Federal, informando que a conta da vítima está bloqueada ou com problemas. Durante a conversa, eles solicitam que a vítima compartilhe a tela do celular, altere seu e-mail e senha, ou envie códigos de verificação, permitindo que os golpistas acessem a conta e transfiram o dinheiro via Pix para contas de laranjas. Essa operação foi identificada pelo pesquisador de segurança Clandestine e é alimentada por vazamentos de dados de beneficiários. Além disso, há um esquema de comercialização de pacotes de vishing, que inclui ferramentas para camuflar a origem das ligações e realizar chamadas automáticas. Para se proteger, os usuários devem desconfiar de ligações que solicitam informações pessoais de forma urgente.

Uma nova campanha de phishing direcionada a usuários do LinkedIn tem utilizado notificações falsas para roubar credenciais de login e dados profissionais. Segundo o Cofense Phishing Defense Center, os criminosos criam e-mails que imitam alertas legítimos da plataforma, enganando até mesmo os usuários mais cautelosos. Esses e-mails, que apresentam um design semelhante ao do LinkedIn, informam sobre mensagens urgentes de representantes de empresas renomadas, levando as vítimas a clicar em links maliciosos. Ao clicar, o usuário é redirecionado para uma página de login fraudulenta, onde suas informações de acesso são capturadas. O domínio utilizado pelos golpistas, que se assemelha ao verdadeiro, é uma tática para enganar os desavisados. A campanha destaca a importância da conscientização sobre segurança digital, especialmente em plataformas profissionais, onde informações sensíveis são frequentemente compartilhadas.

Um grupo de hackers associado ao Irã, conhecido como Charming Kitten, tem utilizado táticas de engenharia social para comprometer usuários de plataformas da Apple e Microsoft. Em vez de explorar vulnerabilidades técnicas, os atacantes criam identidades falsas e estabelecem relações de confiança com as vítimas, levando-as a revelar credenciais ou instalar softwares maliciosos. Essa abordagem, reminiscentes das estratégias de espionagem da Guerra Fria, permite que os hackers operem de forma eficaz em um ambiente digital, afetando usuários em todo o mundo.

Recentemente, golpistas têm enviado mensagens de texto falsas, se passando por tribunais estaduais dos EUA, alertando sobre supostas infrações de trânsito. Essas mensagens, que incluem um QR code, pressionam os destinatários a realizar um pagamento de $6,99 em um site de phishing, onde informações pessoais e financeiras são coletadas. A nova campanha, que começou há algumas semanas, já afetou residentes de vários estados, incluindo Nova York, Califórnia e Texas. Ao contrário de campanhas anteriores, que apenas incluíam links, esta nova abordagem utiliza uma imagem de um aviso judicial falso com um QR code embutido. Após escanear o código, a vítima é direcionada a um site que imita agências governamentais, onde é solicitado que forneça dados pessoais e informações de cartão de crédito. Especialistas alertam que, ao receber mensagens de números desconhecidos solicitando pagamentos, é fundamental ignorá-las, já que agências estatais não utilizam esse método para solicitar informações pessoais. Essa prática representa um risco significativo de roubo de identidade e fraudes financeiras.

O artigo aborda a crescente preocupação com chats falsos de suporte que visam roubar dados pessoais dos usuários. Muitas vezes, esses chats se disfarçam como atendimentos legítimos, levando os usuários a baixar a guarda. O texto destaca a importância de verificar como o usuário chegou até o chat, enfatizando que links recebidos por e-mail, SMS ou redes sociais são frequentemente armadilhas. Além disso, é ressaltado que atendimentos verdadeiros nunca pedem informações sensíveis, como senhas ou dados de cartão, e que sinais de alerta incluem urgência excessiva, erros de digitação e insistência em canais de comunicação alternativos. Para garantir a segurança, recomenda-se acessar o suporte diretamente pelo site oficial do serviço. Caso o usuário já tenha compartilhado informações, o artigo orienta a interromper a conversa, alterar senhas e notificar instituições financeiras. A mensagem central é que a confiança digital deve ser construída com verificação rigorosa, não apenas com base na aparência.

Os ataques de phishing que abusam do fluxo de autorização de dispositivo do OAuth 2.0 aumentaram mais de 37 vezes em 2023. Nesse tipo de ataque, o criminoso envia um pedido de autorização de dispositivo a um provedor de serviços e recebe um código, que é enviado à vítima sob diversos pretextos. A vítima é enganada a inserir o código em uma página de login legítima, autorizando assim o dispositivo do atacante a acessar sua conta. Essa técnica, documentada pela primeira vez em 2020, tem sido amplamente adotada por cibercriminosos, incluindo hackers estatais e motivados financeiramente. A Push Security observou um aumento significativo na detecção de páginas de phishing relacionadas a esses ataques, com o kit EvilTokens se destacando como um dos principais responsáveis por essa tendência. Outros kits, como VENOM e SHAREFILE, também estão emergindo no mercado, oferecendo ferramentas para cibercriminosos de baixa habilidade. Para mitigar esses ataques, recomenda-se que os usuários desativem o fluxo de autorização de dispositivo quando não necessário e monitorem logs em busca de eventos de autenticação inesperados.

Desde meados de 2025, um ator de ameaças alinhado à China, identificado como TA416, intensificou suas atividades contra organizações governamentais e diplomáticas na Europa, após um período de dois anos com pouca atividade na região. Pesquisadores da Proofpoint relataram que as campanhas de TA416 incluem múltiplas ondas de entrega de malware e web bugs direcionadas a missões diplomáticas da União Europeia e da OTAN. O grupo tem utilizado técnicas sofisticadas, como o abuso de páginas de desafio do Cloudflare e redirecionamentos OAuth, além de atualizar frequentemente seu payload PlugX. Além disso, TA416 também tem realizado campanhas no Oriente Médio, possivelmente para coletar informações sobre o conflito entre EUA, Israel e Irã. As táticas observadas incluem o uso de arquivos de projeto C# para facilitar a entrega do malware, que é conhecido por estabelecer canais de comunicação criptografados com servidores de comando e controle. A evolução das operações cibernéticas chinesas, que se tornaram mais adaptativas e centradas na identidade, destaca a necessidade de vigilância constante por parte das organizações, especialmente aquelas que operam em setores críticos.

O boletim semanal de cibersegurança destaca diversas ameaças emergentes e vulnerabilidades críticas que afetam sistemas e aplicativos amplamente utilizados. Entre os principais pontos, estão as falhas de segurança no Progress ShareFile, que permitem execução remota de código sem autenticação, e a propagação do malware NoVoice, que se espalha por mais de 50 aplicativos Android, explorando vulnerabilidades antigas para obter acesso root. O FBI também alertou sobre os riscos de aplicativos móveis desenvolvidos no exterior, especialmente os da China, que podem coletar dados pessoais sem autorização. Além disso, foi criada uma nova unidade no Departamento de Estado dos EUA para combater ameaças cibernéticas emergentes. O artigo enfatiza a importância de aplicar patches e monitorar sistemas, especialmente em um cenário onde um único código malicioso pode comprometer milhares de aplicativos. A relevância dessas informações é alta para empresas brasileiras, considerando a necessidade de proteção contra essas ameaças.

Um novo kit malicioso chamado EvilTokens foi identificado, integrando capacidades de phishing por código de dispositivo, permitindo que atacantes sequestrassem contas da Microsoft e realizassem ataques avançados de comprometimento de e-mail corporativo (BEC). Vendido a cibercriminosos via Telegram, o kit está em constante desenvolvimento, com planos de suporte para páginas de phishing do Gmail e Okta. Os ataques de phishing por código de dispositivo abusam do fluxo de autorização de dispositivo do OAuth 2.0, onde os atacantes enganam a vítima para autorizar um dispositivo malicioso. Pesquisadores da Sekoia observaram que as vítimas recebiam e-mails com documentos que continham QR codes ou links para templates de phishing do EvilTokens, disfarçados como conteúdo empresarial legítimo. Ao clicar, a vítima é redirecionada para uma página de phishing que imita serviços confiáveis, levando à autenticação em uma URL legítima da Microsoft. Isso permite que os atacantes obtenham tokens de acesso e refresh, garantindo acesso imediato aos serviços da conta da vítima. As campanhas têm um alcance global, com os Estados Unidos, Canadá e França entre os países mais afetados. O kit também oferece recursos avançados para automatizar ataques BEC, indicando que já está sendo utilizado em larga escala por atores de ameaças.

O Computer Emergency Response Team da Ucrânia (CERT-UA) revelou uma nova campanha de phishing em que os atacantes se passaram pela própria agência para disseminar uma ferramenta de administração remota chamada AGEWHEEZE. Nos dias 26 e 27 de março de 2026, e-mails foram enviados a diversas organizações, incluindo instituições estatais e financeiras, com um arquivo ZIP protegido por senha, que supostamente continha um ‘software especializado’. O arquivo, intitulado ‘CERT_UA_protection_tool.zip’, na verdade, baixa um trojan de acesso remoto. O malware, desenvolvido em Go, se comunica com um servidor externo e permite uma série de operações maliciosas, como captura de tela e controle de processos. Embora a campanha tenha visado 1 milhão de caixas de entrada, o CERT-UA relatou que o impacto foi limitado, com poucos dispositivos infectados. A análise do site falso sugere que foi criado com ferramentas de inteligência artificial, e o grupo responsável, denominado Cyber Serp, afirma que não visa prejudicar cidadãos ucranianos. A situação destaca a crescente sofisticação das ameaças cibernéticas e a necessidade de vigilância contínua.

Uma nova campanha de phishing está atacando usuários de língua espanhola em organizações na América Latina e na Europa, visando a entrega de trojans bancários do Windows, como o Casbaneiro, através de um malware chamado Horabot. A atividade foi atribuída a um grupo de cibercrime brasileiro conhecido como Augmented Marauder e Water Saci, que foi documentado pela Trend Micro em outubro de 2025.

Os ataques começam com e-mails de phishing que usam mensagens de convocação judicial para enganar os destinatários a abrir um anexo PDF protegido por senha. Ao clicar em um link embutido no documento, a vítima é redirecionada para um link malicioso que inicia o download automático de um arquivo ZIP, levando à execução de scripts VBS que realizam verificações de ambiente e anti-análise. Esses scripts, então, baixam cargas úteis adicionais que incluem loaders baseados em AutoIt, que extraem e executam arquivos criptografados.

Uma campanha ativa de ciberataques tem como alvo usuários de língua chinesa, utilizando domínios com erros de digitação que imitam marcas de software confiáveis para disseminar um novo trojan de acesso remoto chamado AtlasCross RAT. A empresa de cibersegurança Hexastrike identificou que a operação abrange clientes de VPN, mensageiros criptografados, ferramentas de videoconferência e aplicativos de e-commerce, com onze domínios confirmados que se passam por marcas como Surfshark VPN, Signal e Microsoft Teams. A campanha é atribuída ao grupo de cibercrime chinês conhecido como Silver Fox, que evoluiu suas táticas a partir de variantes do Gh0st RAT. Os atacantes criam sites falsos para enganar usuários a baixarem arquivos ZIP que contêm instaladores trojanizados. O AtlasCross RAT possui capacidades avançadas, incluindo injeção de DLL em WeChat e manipulação de sessões RDP, além de técnicas de evasão de segurança. A descoberta deste malware destaca a crescente sofisticação das ameaças cibernéticas, com implicações significativas para a segurança de dados e a conformidade com a LGPD no Brasil.

Pesquisadores de cibersegurança descobriram um toolkit de acesso remoto de origem russa, denominado CTRL, que é distribuído por meio de arquivos de atalho (LNK) maliciosos disfarçados como pastas de chaves privadas. O toolkit, desenvolvido em .NET, inclui executáveis que facilitam phishing de credenciais, keylogging, sequestro de sessões RDP e tunelamento reverso via Fast Reverse Proxy (FRP). O ataque começa com um arquivo LNK que, ao ser clicado, inicia um processo em múltiplas etapas, levando à implantação do toolkit. O arquivo dropper aciona um comando PowerShell oculto que remove mecanismos de persistência existentes e baixa cargas úteis adicionais de um servidor remoto. O componente de coleta de credenciais simula uma janela de verificação de PIN do Windows, capturando informações sensíveis enquanto bloqueia tentativas de escape. O toolkit também permite o envio de notificações que imitam navegadores para roubo adicional de credenciais. A arquitetura do CTRL prioriza a segurança operacional, evitando padrões de comunicação detectáveis, o que representa um risco significativo para organizações que utilizam tecnologias Windows. A descoberta deste toolkit destaca a necessidade de vigilância contínua e medidas de segurança robustas para mitigar riscos associados a ataques de malware sofisticados.

Os arquivos ZIP são frequentemente utilizados para enviar documentos importantes, mas também podem ser uma porta de entrada para malwares. O artigo destaca a importância de verificar a origem e o contexto de envio desses arquivos antes de abri-los. É fundamental analisar o remetente, o conteúdo do e-mail e sinais visuais que possam indicar uma tentativa de phishing, como nomes genéricos de arquivos ou mensagens com erros de gramática. O artigo também menciona que erros ao tentar extrair arquivos ZIP podem ser um sinal de malware, e recomenda o uso de antivírus para escanear os arquivos antes de abri-los. Além disso, sugere que os usuários evitem abrir arquivos desconhecidos em máquinas corporativas e sempre confirmem a natureza do documento com o remetente. A cautela é essencial, pois hackers podem invadir contas de conhecidos para enviar arquivos infectados. O principal objetivo é promover uma abordagem proativa e informada na identificação de arquivos ZIP suspeitos.

O fenômeno conhecido como MFA fatigue, ou fadiga de autenticação multifatorial, refere-se à exploração do cansaço dos usuários diante de repetidas solicitações de autenticação em seus dispositivos. Os golpistas utilizam essa técnica de engenharia social para induzir os usuários a aprovar acessos indevidos, especialmente em momentos de distração. A autenticação de dois fatores (2FA) é uma medida de segurança importante, pois, mesmo que a senha de um usuário seja comprometida, o acesso ainda requer um código enviado ao celular. No entanto, os hackers têm desenvolvido métodos para contornar essa proteção, como o bombardeio de solicitações de autenticação e a criação de mensagens falsas de suporte. Isso pode levar os usuários a aprovar acessos fraudulentos sem perceber. Para se proteger, é essencial que os usuários estejam sempre atentos a notificações inesperadas e nunca compartilhem seus códigos de autenticação. A conscientização sobre esses ataques é crucial, pois a segurança não depende apenas da tecnologia, mas também do comportamento do usuário.

A fraude financeira, impulsionada por tecnologias de inteligência artificial (IA), se tornou uma atividade global de alto volume, com perdas estimadas em mais de $400 bilhões em um único ano. Um relatório da Vyntra de 2026 revela que quase dois terços das fraudes são bem-sucedidas no primeiro dia de contato, o que dificulta a intervenção. A IA generativa tem acelerado a criação de campanhas de phishing, reduzindo o tempo necessário para montá-las de mais de 16 horas para menos de 5 minutos. Isso permite que milhares de interações personalizadas ocorram simultaneamente, aumentando tanto o alcance quanto as taxas de sucesso. As fraudes incluem impersonificação de executivos, invasões de contas via phishing e golpes de recrutamento, frequentemente utilizando conteúdo gerado por IA. A combinação de clonagem de voz, vídeos deepfake e credenciais falsificadas fortalece a credibilidade das operações fraudulentas. Além disso, as fraudes de pagamento por transferência autorizada estão crescendo, pois as vítimas iniciam transferências sob condições manipuladas, tornando a detecção mais difícil. A integração da IA nesses esquemas não cria o problema, mas aumenta a eficiência e a escala, complicando os esforços de aplicação da lei. Instituições financeiras estão tentando responder com análises comportamentais e monitoramento em tempo real, mas a necessidade de compartilhamento de inteligência entre fronteiras se torna cada vez mais evidente.

Uma nova campanha de cibersegurança está atacando desenvolvedores no GitHub, utilizando alertas falsos de segurança do Visual Studio Code (VS Code) para induzir usuários a baixar malware. Os posts, que aparecem na seção de Discussões de vários projetos, são elaborados como avisos de vulnerabilidade e apresentam títulos alarmantes, como “Vulnerabilidade Severa - Atualização Imediata Necessária”, frequentemente incluindo IDs de CVE falsos. Os atacantes se passam por mantenedores de código reais, criando uma falsa sensação de legitimidade. A empresa de segurança Socket identificou que essa atividade é parte de uma operação bem organizada, com posts automatizados de contas recém-criadas ou com pouca atividade, que geram notificações por e-mail para um grande número de usuários. Os links nos alertas direcionam para versões supostamente corrigidas de extensões do VS Code, hospedadas em serviços externos como o Google Drive, o que pode enganar os usuários apressados. Ao clicar, os usuários são redirecionados para um site que coleta informações sobre o sistema da vítima. Este incidente destaca a necessidade de cautela ao lidar com alertas de segurança e a importância de verificar a legitimidade das fontes antes de agir.

Uma nova campanha de phishing está atacando contas do TikTok para Empresas, utilizando páginas falsas que imitam a plataforma. De acordo com um relatório da Push Security, os atacantes estão usando links maliciosos que redirecionam as vítimas para páginas que se parecem com o TikTok para Empresas ou Google Careers, onde são solicitadas credenciais. O objetivo final é realizar uma verificação do Cloudflare Turnstile para bloquear bots e, em seguida, exibir uma página de login de phishing para roubar informações. Além disso, a campanha também se aproveita de infostealers como Vidar e Aura Stealer, entregues através de vídeos gerados por IA que se disfarçam como guias de ativação. Os domínios utilizados para hospedar essas páginas de phishing incluem uma série de endereços que começam com ‘welcome.careers’. Outra campanha observada recentemente utiliza arquivos SVG maliciosos para entregar malware, destacando a versatilidade dos métodos de ataque. Essa situação ressalta a necessidade de vigilância constante e educação sobre segurança cibernética, especialmente para empresas que operam em plataformas sociais populares como o TikTok.

A Polícia Nacional da Holanda (Politie) confirmou um incidente de segurança resultante de um ataque de phishing, que teve impacto limitado e não afetou os dados dos cidadãos. O Centro de Operações de Segurança da polícia detectou rapidamente o ataque e bloqueou o acesso dos invasores aos sistemas comprometidos. Embora a investigação sobre o impacto continue, a polícia assegurou que dados de cidadãos e informações de investigações não foram expostos ou acessados. O incidente está sendo investigado por especialistas em segurança da agência, e uma investigação criminal foi iniciada. Detalhes sobre a data da detecção do ataque e se dados de funcionários foram comprometidos ainda não foram divulgados. Este ataque ocorre em um contexto de crescente preocupação com a segurança cibernética, especialmente após um vazamento de dados em setembro de 2024, que envolveu informações de contato de policiais, atribuído a um ‘ator estatal’. Após o incidente, a polícia implementou medidas de segurança mais rigorosas, incluindo a autenticação de dois fatores para o acesso a contas. O ataque ressalta a necessidade de vigilância contínua e a implementação de práticas de segurança robustas para proteger informações sensíveis.

O artigo explora como as táticas de falsificação de Elmyr de Hory, um notório forjador de obras de arte, oferecem lições valiosas para a cibersegurança moderna. Nos dias atuais, os atacantes cibernéticos utilizam inteligência artificial (IA) para imitar comportamentos legítimos e se infiltrar em redes, tornando-se cada vez mais difíceis de detectar. Com 81% dos ataques sendo livres de malware, os invasores empregam técnicas como Living-off-the-Land (LotL), que utilizam ferramentas e credenciais legítimas para realizar suas atividades maliciosas.

O FBI e a Agência de Segurança Cibernética e de Infraestrutura (CISA) estão investigando uma nova campanha de phishing que utiliza os aplicativos de mensagens WhatsApp e Signal para roubar dados confidenciais. Os ataques são realizados por hackers associados aos serviços de inteligência da Rússia, que visam indivíduos considerados de alto valor, como funcionários do governo dos EUA, militares e jornalistas. A estratégia dos criminosos não envolve a exploração de vulnerabilidades nos aplicativos, mas sim o envio de mensagens fraudulentas que alertam sobre atividades suspeitas nas contas das vítimas. Essas mensagens criam uma falsa sensação de urgência, levando as pessoas a agirem impulsivamente e a fornecerem acesso às suas contas. Embora o foco esteja em alvos específicos nos Estados Unidos, o alerta é relevante para usuários comuns no Brasil, que devem estar atentos a mensagens de desconhecidos e links suspeitos. A situação destaca a importância da cautela ao usar aplicativos de mensagens, especialmente em um cenário onde a segurança digital é cada vez mais ameaçada.

Criminosos estão explorando a credibilidade do portal gov.br para disseminar malware que captura senhas e dados bancários. Segundo Rodolfo Almeida, cofundador da ViperX, o ataque se diferencia dos golpes tradicionais, pois induz a vítima a baixar um arquivo malicioso em vez de coletar dados por meio de formulários falsos. O golpe começa com um link enviado via SMS, WhatsApp ou e-mail, que redireciona para uma página idêntica ao gov.br, onde a vítima é instruída a baixar um arquivo. Uma vez executado, o malware, conhecido como ‘infostealer’, se camufla em aplicativos legítimos do Windows e opera em segundo plano, registrando digitações e capturando telas. A eficácia desse golpe está ligada à confiança que o público deposita nas instituições governamentais, aumentando a taxa de conversão do ataque. Para se proteger, Almeida recomenda verificar o endereço do link, desconfiar de downloads, ativar a autenticação em dois fatores e manter sistemas atualizados. Caso alguém suspeite de infecção, deve encerrar sessões abertas e notificar o banco imediatamente.

Recentemente, contas do TikTok for Business estão sendo alvo de uma campanha de phishing que dificulta a análise por bots de segurança. Os atacantes visam essas contas devido ao seu potencial para fraudes publicitárias e distribuição de conteúdo malicioso. A empresa Push Security relaciona essa campanha a uma anterior que afetou contas do Google Ad Manager. Os criminosos utilizam páginas de phishing hospedadas no Cloudflare, registradas em um domínio frequentemente associado a atividades cibernéticas ilícitas. Os usuários são atraídos por links que redirecionam para páginas falsas que imitam o TikTok e o Google Careers, solicitando informações básicas para validar o uso de e-mails corporativos. Após essa validação, uma página de login falsa captura credenciais e cookies de sessão, permitindo que os atacantes acessem contas, mesmo com a autenticação de dois fatores (2FA) ativada. É crucial que os usuários estejam atentos a convites e ofertas de emprego suspeitas e verifiquem sempre os domínios antes de inserir credenciais. A campanha destaca a vulnerabilidade das contas de negócios e a necessidade de medidas de segurança robustas.

Nesta semana, o boletim de segurança destaca uma série de ameaças cibernéticas e inovações tecnológicas. A Google anunciou um cronograma acelerado para a migração para a criptografia pós-quântica (PQC), visando proteger dados contra futuros ataques de computadores quânticos. A atualização inclui a integração do algoritmo de assinatura digital ML-DSA no Android 17, aumentando a segurança durante o processo de inicialização. Além disso, o GitHub introduziu detecções de segurança impulsionadas por IA para identificar vulnerabilidades em códigos, melhorando a cobertura de segurança em diversas linguagens e frameworks.

Pesquisadores da Kaspersky identificaram uma nova técnica de phishing que utiliza a plataforma de criação de aplicativos sem código, Bubble, para gerar e hospedar aplicativos maliciosos. Esses aplicativos são hospedados em um domínio legítimo (*.bubble.io), o que dificulta a detecção por soluções de segurança de e-mail. Os criminosos cibernéticos redirecionam os usuários para páginas de phishing que imitam portais de login da Microsoft, frequentemente ocultas por verificações do Cloudflare. As credenciais inseridas nessas páginas falsas são capturadas pelos atacantes, que podem acessar dados sensíveis de contas do Microsoft 365. A plataforma Bubble, que permite a criação de aplicativos por meio de uma interface intuitiva, gera códigos complexos que não são facilmente analisados por ferramentas automatizadas de segurança. Os pesquisadores alertam que essa técnica pode ser adotada por plataformas de phishing como serviço (PhaaS), aumentando a furtividade dos ataques. A Kaspersky entrou em contato com a Bubble para discutir as descobertas, mas não obteve resposta até o momento da publicação.

O phishing por voz, conhecido como vishing, está se tornando uma tática cada vez mais comum entre os criminosos digitais. De acordo com o relatório M-Trends da Mandiant, subsidiária de cibersegurança do Google, o vishing foi responsável por 11% dos ataques digitais em 2025, tornando-se o segundo método mais utilizado para obter acesso ilegal a sistemas. Em contraste, os golpes por e-mail, que tradicionalmente dominaram o cenário de phishing, caíram para apenas 6% dos casos.

Ferramentas de Inteligência Artificial (IA) estão se tornando parte integrante do cotidiano, sendo amplamente utilizadas em criação de conteúdo, desenvolvimento de software e fluxos de trabalho empresariais. No entanto, essa popularidade também atraiu a atenção de cibercriminosos, que estão explorando um mercado negro crescente para a venda de acessos a plataformas de IA. Pesquisas indicam que contas premium estão sendo revendidas em grupos do Telegram, com métodos de aquisição que incluem roubo de credenciais, criação em massa de contas e abuso de programas promocionais. O acesso a essas ferramentas permite que atores maliciosos automatizem fraudes, criem mensagens de phishing e realizem campanhas de engenharia social de forma mais eficiente. A análise sugere que a venda de contas de IA se tornou um produto valioso no mercado negro, com ofertas que prometem acesso ilimitado ou menos restrições. Para as organizações, isso representa um risco significativo, pois a exploração dessas ferramentas pode resultar em fraudes mais sofisticadas e personalizadas. A necessidade de monitoramento e proteção de contas de IA é mais urgente do que nunca, à medida que a dependência dessas tecnologias cresce.

Pesquisadores de cibersegurança alertam sobre uma campanha ativa de phishing por código de dispositivo que está atacando identidades do Microsoft 365 em mais de 340 organizações nos EUA, Canadá, Austrália, Nova Zelândia e Alemanha. Identificada pela Huntress em 19 de fevereiro de 2026, a campanha utiliza redirecionamentos do Cloudflare Workers e uma infraestrutura hospedada na Railway, transformando-a em um motor de coleta de credenciais. Os setores mais afetados incluem construção, serviços financeiros, saúde e governo. A técnica de phishing por código de dispositivo explora o fluxo de autorização OAuth, permitindo que os atacantes obtenham tokens de acesso persistentes, mesmo após a redefinição de senhas. O ataque começa com um e-mail de phishing que leva a uma página de login legítima da Microsoft, onde a vítima insere seu código de dispositivo e credenciais. A Huntress também atribui a campanha a uma nova plataforma de phishing como serviço chamada EvilTokens, que oferece ferramentas para enviar e-mails de phishing e contornar filtros de spam. A Palo Alto Networks também relatou uma campanha semelhante, destacando o uso de técnicas anti-análise para evitar detecções.

O Departamento de Justiça dos EUA anunciou a condenação de Ilya Angelov, um cidadão russo de 40 anos, a dois anos de prisão e uma multa de $100.000 por gerenciar uma botnet utilizada em ataques de ransomware contra empresas americanas. Angelov, que operava sob os pseudônimos ‘milan’ e ‘okart’, co-gerenciou o grupo cibercriminoso TA551 entre 2017 e 2021. O grupo foi responsável por construir uma rede de computadores comprometidos através da distribuição de arquivos maliciosos anexados a e-mails de spam. Os ataques visavam revender o acesso a esses computadores para outros grupos criminosos, resultando em extorsões que ultrapassaram $14 milhões. A colaboração de Angelov com outros grupos, como o BitPaymer e o IcedID, destaca a complexidade e a sofisticação das operações de ransomware. O caso ressalta a crescente ameaça de cibercrime, especialmente para empresas que podem ser alvos de tais ataques, e a necessidade de medidas de segurança robustas.

Ilya Angelov, um cidadão russo de 40 anos, foi condenado a dois anos de prisão após confessar que gerenciou uma botnet de phishing utilizada em ataques de ransomware BitPaymer contra 72 empresas nos Estados Unidos. Angelov, que se apresentou nos EUA após a invasão da Ucrânia, era um dos líderes de uma operação criminosa russa conhecida como Mario Kart, que entre 2017 e 2021, enviou até 700 mil e-mails de spam por dia, infectando cerca de 3 mil computadores diariamente. A gangue não apenas distribuía malware, mas também vendia o acesso a dispositivos infectados para outros cibercriminosos, que realizavam extorsões em criptomoedas, resultando em mais de 14 milhões de dólares em pagamentos de resgate. Além disso, Angelov colaborou com outros grupos de ransomware, como o IcedID, e sua operação foi associada a diversas campanhas de phishing e ransomware, incluindo a parceria com a gangue TrickBot. Outro cidadão russo, Aleksey Volkov, também foi condenado a quase sete anos de prisão por atuar como intermediário em ataques de ransomware Yanluowang. O caso destaca a crescente ameaça de ransomware e phishing, que continua a impactar empresas globalmente.

Um novo ataque de malvertising, focado na temporada de declaração de impostos nos Estados Unidos, está sendo utilizado por hackers para disseminar ransomware. Especialistas da Huntress alertam que, com a proximidade do prazo de 15 de abril, muitos usuários apressam-se em buscar formulários fiscais, o que os torna vulneráveis a sites falsos promovidos por anúncios do Google. Esses sites maliciosos instalam o ScreenConnect, uma ferramenta legítima de acesso remoto, que é utilizada para fins maliciosos. Antes de ativar essa ferramenta, os atacantes instalam um driver de kernel que desativa as proteções de segurança, como o Windows Defender. A campanha não se limita apenas a iscas relacionadas a impostos; também foram identificadas páginas falsas de atualização do Chrome, sugerindo um arsenal de engenharia social mais amplo. O ataque parece ser uma fase inicial de uma campanha mais complexa, onde os criminosos buscam estabelecer uma base e coletar credenciais, possivelmente preparando o terreno para a implementação de ransomware.

Uma nova campanha de phishing está atacando ambientes corporativos francófonos, utilizando currículos falsos para implantar mineradores de criptomoedas e ferramentas de roubo de informações. Os pesquisadores da Securonix, Shikha Sangwan, Akshay Gaikwad e Aaron Beardslee, relataram que a campanha, chamada FAUX#ELEVATE, utiliza arquivos VBScript altamente ofuscados disfarçados como documentos de currículos, entregues por meio de e-mails de phishing. Ao serem executados, esses arquivos ativam um kit de ferramentas multifuncional que combina roubo de credenciais, exfiltração de dados e mineração de criptomoedas Monero. A campanha se destaca pelo uso de serviços legítimos, como Dropbox e sites WordPress, para hospedar e distribuir os payloads. O dropper inicial mostra uma mensagem de erro em francês, enganando os usuários e executando um código ofuscado que contorna mecanismos de defesa. Após obter privilégios administrativos, o malware desativa controles de segurança e realiza a exfiltração de dados através de contas de e-mail comprometidas. A rapidez da execução, que leva apenas 25 segundos do início ao fim da cadeia de infecção, e o foco em máquinas corporativas tornam essa ameaça particularmente perigosa para a segurança das empresas.

A plataforma de bug bounty HackerOne notificou centenas de funcionários sobre o roubo de seus dados após um ataque cibernético à Navia, uma administradora de benefícios nos EUA. O incidente expôs informações sensíveis de 287 funcionários, incluindo números de Seguro Social, nomes completos, endereços, números de telefone, datas de nascimento e detalhes de planos de benefícios. A vulnerabilidade que permitiu o acesso não autorizado foi identificada como uma falha de autorização de nível de objeto quebrada (BOLA), que permitiu que um ator desconhecido acessasse os dados entre 22 de dezembro de 2025 e 15 de janeiro de 2026. A Navia tomou conhecimento da atividade suspeita em 23 de janeiro de 2026 e notificou as empresas afetadas em cartas datadas de 20 de fevereiro de 2026. Embora a Navia tenha afirmado que o incidente não afetou as reivindicações ou informações financeiras dos indivíduos impactados, os dados expostos são suficientes para que ataques de phishing e engenharia social sejam realizados. HackerOne aconselhou os funcionários afetados a monitorar suas contas financeiras e a considerar a alteração de senhas. Até o momento, nenhum grupo de cibercrime assumiu a responsabilidade pelo ataque.

Pesquisadores de cibersegurança descobriram uma nova campanha maliciosa, chamada Ghost, que utiliza pacotes npm para roubar carteiras de criptomoedas e dados sensíveis. Os pacotes, publicados por um usuário identificado como ‘mikilanjillo’, incluem nomes como ‘react-performance-suite’ e ‘coinbase-desktop-sdk’. Esses pacotes enganam os usuários ao solicitar a senha sudo durante a instalação, enquanto ocultam suas verdadeiras intenções. O processo de instalação é disfarçado com logs falsos e atrasos aleatórios, criando a ilusão de que a instalação está em andamento. Ao inserir a senha, o malware é ativado, permitindo o download de um trojan de acesso remoto que coleta dados e aguarda instruções de um servidor externo. A campanha Ghost apresenta semelhanças com outra atividade chamada GhostClaw, que também utiliza repositórios do GitHub para disseminar malware, disfarçado como ferramentas legítimas. Ambas as campanhas destacam uma nova abordagem dos atacantes, que exploram ecossistemas confiáveis para introduzir código malicioso. A situação é preocupante, pois pode impactar desenvolvedores e empresas que utilizam essas bibliotecas, especialmente no Brasil, onde o uso de tecnologias como Node.js e npm é comum.

A plataforma de phishing Tycoon2FA, que foi desmantelada em uma operação coordenada pela Europol e Microsoft em 4 de março de 2026, já voltou a operar em níveis normais. A ação resultou na apreensão de 330 domínios que faziam parte da infraestrutura da plataforma, incluindo painéis de controle e páginas de phishing. Apesar da interrupção inicial, a CrowdStrike observou que a atividade da Tycoon2FA retornou rapidamente aos níveis anteriores, com um aumento significativo na quantidade de e-mails de phishing enviados. A plataforma, que se especializa em atacar contas do Microsoft 365 e Gmail, utiliza técnicas de adversário no meio (adversary-in-the-middle) para contornar a autenticação de dois fatores (2FA). Desde sua primeira documentação há dois anos, a Tycoon2FA tem se mostrado um ator significativo no cenário de phishing, gerando cerca de 30 milhões de e-mails de phishing por mês. A operação policial não foi suficiente para desmantelar completamente a infraestrutura, e novas páginas de phishing foram rapidamente registradas. A CrowdStrike alerta que, sem prisões ou apreensões físicas, os cibercriminosos conseguem se recuperar facilmente, mantendo a demanda por serviços de phishing.

A Mazda Motor Corporation, uma das maiores montadoras do Japão, revelou que informações de seus funcionários e parceiros de negócios foram expostas em um incidente de segurança detectado em dezembro. Os atacantes exploraram uma vulnerabilidade em um sistema de gerenciamento de armazém relacionado a peças adquiridas da Tailândia. Embora a empresa tenha afirmado que não houve dados de clientes envolvidos e que a violação se limitou a 692 registros, os dados expostos incluem endereços de e-mail, nomes de empresas e IDs de parceiros comerciais. A Mazda notificou a Comissão de Proteção de Informações Pessoais do Japão e implementou medidas de segurança adicionais, como redução da exposição à internet e monitoramento intensificado de atividades suspeitas. Apesar de não ter detectado uso indevido das informações, a empresa alertou os indivíduos afetados para que permaneçam vigilantes contra ataques de phishing. Até o momento, nenhum grupo de ransomware reivindicou publicamente a responsabilidade pelo ataque, embora o grupo Clop tenha listado a Mazda em seu site de vazamentos em 2025, alegando ter comprometido a montadora e sua subsidiária nos EUA.

A Microsoft emitiu um alerta sobre novas campanhas de phishing que estão explorando a temporada de impostos nos Estados Unidos para roubar credenciais e disseminar malware. Os ataques se disfarçam como notificações de reembolso, formulários de folha de pagamento e lembretes de declaração, visando tanto indivíduos quanto profissionais contábeis que lidam com dados financeiros sensíveis. As campanhas utilizam plataformas de Phishing-as-a-Service (PhaaS) para criar páginas falsas que imitam o login do Microsoft 365, além de empregar QR codes e links maliciosos. Uma campanha em larga escala afetou mais de 29.000 usuários em 10.000 organizações, com 95% dos alvos localizados nos EUA. Os e-mails fraudulentos, que se passavam pelo IRS, instruíam os destinatários a baixar um suposto ‘Visualizador de Transcrições do IRS’, levando a um site malicioso que instalava ferramentas de acesso remoto como ScreenConnect. Para se proteger, as organizações devem implementar autenticação de dois fatores (2FA), monitorar e escanear e-mails recebidos e bloquear acessos a domínios maliciosos.

Nos últimos meses, um novo golpe de phishing tem se espalhado, utilizando alertas do Microsoft Azure Monitor para enganar usuários. Esses alertas, que normalmente são usados para monitorar recursos e atividades na nuvem, estão sendo manipulados por criminosos para enviar e-mails fraudulentos que se passam por notificações de segurança da Microsoft. Os e-mails alertam sobre cobranças suspeitas na conta do usuário, incentivando-o a ligar para um número de telefone fornecido. Os golpistas utilizam o endereço de e-mail legítimo azure-noreply@microsoft.com, o que permite que suas mensagens passem por verificações de segurança como SPF, DKIM e DMARC, tornando-as ainda mais convincentes. Os alertas são configurados para serem disparados por condições facilmente acionáveis, como novos pedidos ou pagamentos, e são enviados a uma lista de contatos controlada pelos atacantes. Essa abordagem não só aumenta a credibilidade dos e-mails, mas também cria um senso de urgência, levando os usuários a agir rapidamente. É fundamental que os usuários tratem qualquer alerta do Azure ou da Microsoft que inclua um número de telefone ou solicitação urgente com cautela, pois isso pode levar a roubo de credenciais ou fraudes financeiras.

Recentemente, a CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) e o FBI alertaram sobre campanhas de phishing conduzidas por atores associados aos serviços de inteligência da Rússia. Essas campanhas têm como alvo aplicativos de mensagens comerciais (CMAs) como WhatsApp e Signal, visando indivíduos de alto valor de inteligência, incluindo oficiais do governo dos EUA, militares, figuras políticas e jornalistas. Os ataques resultaram no comprometimento de milhares de contas, permitindo que os invasores visualizassem mensagens, listas de contatos e enviassem mensagens em nome das vítimas. Importante ressaltar que os ataques não exploram vulnerabilidades de segurança, mas sim utilizam engenharia social para enganar as vítimas a fornecerem códigos de verificação ou a clicarem em links maliciosos. A C4, centro de coordenação de crises cibernéticas da França, também emitiu um alerta sobre o aumento dessas campanhas. Para se proteger, os usuários devem evitar compartilhar códigos de verificação e ter cautela ao receber mensagens inesperadas. A Signal enfatizou que nunca solicitará códigos de verificação por mensagens diretas ou redes sociais, alertando que qualquer solicitação desse tipo é uma fraude.

O FBI emitiu um alerta público informando que atores de ameaças ligados à inteligência russa estão atacando usuários de aplicativos de mensagens criptografadas, como Signal e WhatsApp, por meio de campanhas de phishing que já comprometeram milhares de contas. Este é o primeiro reconhecimento público que vincula essas campanhas diretamente aos serviços de inteligência da Rússia. Os ataques visam contornar as proteções da criptografia de ponta a ponta não quebrando a criptografia, mas sim por meio de sequestros de contas. Os atacantes podem acessar mensagens privadas, listas de contatos e até se passar pelas vítimas para lançar novas campanhas de phishing. O FBI destaca que os alvos principais incluem indivíduos com acesso a informações sensíveis, como funcionários do governo dos EUA, militares, figuras políticas e jornalistas. As autoridades de cibersegurança da França e da Holanda também emitiram alertas semelhantes, enfatizando que os ataques são amplos e em andamento em vários países. Os usuários são aconselhados a desconfiar de mensagens inesperadas e a nunca compartilhar códigos de verificação ou escanear QR codes suspeitos.

A Inteligência Artificial (IA) está transformando a forma como indivíduos e organizações enfrentam ameaças cibernéticas, especialmente no que diz respeito a ataques de phishing e malware. Os cibercriminosos estão utilizando IA para criar e-mails de phishing personalizados e deepfakes, além de desenvolver malware que consegue evitar a detecção tradicional, imitando comportamentos normais de usuários. Isso torna os modelos de segurança baseados em regras insuficientes para proteger identidades contra essas ameaças habilitadas por IA. Os ataques baseados em IA introduzem riscos distintos, como phishing automatizado e abuso de credenciais, que se adaptam para evitar detecções. Para enfrentar esses desafios, as análises comportamentais precisam evoluir, passando de um monitoramento simples para um modelo de risco dinâmico e baseado em identidade, capaz de identificar inconsistências em tempo real. A segurança deve se estender por toda a infraestrutura, adotando um modelo de segurança de confiança zero, onde nenhum usuário ou dispositivo é automaticamente confiável. Além disso, a proteção de identidades deve incluir análises comportamentais contínuas e controles de acesso granulares, especialmente em ambientes híbridos e multi-nuvem.

A Navia Benefit Solutions, Inc. (Navia) anunciou que cerca de 2,7 milhões de indivíduos foram impactados por uma violação de dados que expôs informações sensíveis a atacantes. A investigação revelou que os hackers tiveram acesso aos sistemas da empresa entre 22 de dezembro de 2025 e 15 de janeiro de 2026, com a atividade suspeita sendo detectada em 23 de janeiro. A empresa, que fornece serviços de administração de benefícios a mais de 10.000 empregadores nos EUA, confirmou que dados como data de nascimento, número de Seguro Social, telefone, e-mail e informações sobre contas de gastos flexíveis (FSA) e reembolso de saúde (HRA) foram acessados. Embora não tenham sido expostos dados financeiros ou de reivindicações, as informações vazadas são suficientes para que os criminosos realizem ataques de phishing e engenharia social. A Navia está revisando suas políticas de segurança e retenção de dados e notificou as autoridades federais. Os clientes afetados receberão um serviço gratuito de proteção de identidade e monitoramento de crédito por 12 meses. Até o momento, nenhum grupo de ransomware reivindicou a violação.

A NordVPN lançou uma nova ferramenta gratuita de verificação de fraudes online, que utiliza inteligência artificial para detectar mensagens e imagens falsas em tempo quase real. A ferramenta é acessível a todos, sem necessidade de assinatura, permitindo que até mesmo usuários menos experientes, como idosos, possam se proteger contra tentativas de phishing e fraudes. O funcionamento é simples: o usuário pode colar uma mensagem ou fazer upload de uma captura de tela para receber um veredicto em segundos. A ferramenta analisa textos e imagens em busca de links, números de telefone e endereços de e-mail suspeitos, identificando padrões comuns em fraudes. Com o aumento das fraudes online, que resultaram em perdas de US$ 442 bilhões no último ano, a NordVPN reafirma seu compromisso em proteger os usuários. Além dessa nova funcionalidade, a empresa já oferece outras ferramentas de segurança, como proteção contra chamadas fraudulentas e monitoramento da dark web. Essa iniciativa é um passo importante na luta contra o cibercrime e visa aumentar a conscientização sobre os riscos online.

A empresa de segurança digital Aura confirmou um vazamento de dados que expôs cerca de 900 mil registros de clientes após um ataque de phishing realizado por telefone. O incidente ocorreu quando um funcionário da empresa foi alvo de um golpe, permitindo que o invasor acessasse sua conta por aproximadamente uma hora. Durante esse período, foram extraídos dados de clientes ativos e antigos, incluindo nomes e endereços de e-mail, mas informações sensíveis como números de Seguro Social e dados financeiros não foram comprometidos. A Aura informou que os dados foram retirados de uma ferramenta de marketing adquirida em 2021 e que suas medidas de segurança, como criptografia e acesso restrito, funcionaram conforme o esperado. O grupo ShinyHunters reivindicou a responsabilidade pelo ataque e adicionou a Aura ao seu site de extorsão, alegando ter obtido 12 GB de informações pessoais identificáveis. A empresa está notificando os clientes afetados e não espera que o ataque se agrave.

Pesquisadores de cibersegurança revelaram uma nova família de malware Android, chamada Perseus, que está sendo ativamente distribuída com o objetivo de realizar a tomada de controle de dispositivos (DTO) e fraudes financeiras. Baseado nas fundações de Cerberus e Phoenix, o Perseus se apresenta como uma plataforma mais flexível e capaz de comprometer dispositivos Android por meio de aplicativos dropper distribuídos em sites de phishing. O malware utiliza sessões remotas baseadas em acessibilidade, permitindo monitoramento em tempo real e interação precisa com dispositivos infectados, com foco em regiões como Turquia e Itália.

O boletim ThreatsDay desta semana destaca uma série de ameaças emergentes em cibersegurança, com foco em operações de Ransomware-as-a-Service (RaaS) e campanhas de phishing. O grupo ‘The Gentlemen’ utiliza uma vulnerabilidade crítica (CVE-2024-55591) em dispositivos FortiGate para realizar ataques, mantendo um banco de dados com 14.700 dispositivos comprometidos. Além disso, falhas no BMC FootPrints podem permitir execução remota de código, enquanto o malware SnappyClient, entregue pelo Hijack Loader, é projetado para roubo de dados e evasão de segurança. Outra técnica emergente, chamada CursorJack, explora links profundos para execução de comandos maliciosos. A campanha de phishing via Microsoft Teams tem aumentado, com atacantes se passando por equipes de TI para obter acesso remoto. A situação é preocupante, pois a exploração de falhas conhecidas em plataformas amplamente utilizadas, como Citrix, e o uso de engenharia social em ferramentas de comunicação, revelam a necessidade urgente de medidas de segurança mais robustas.

Pesquisadores da Cofense identificaram uma nova tática de phishing que utiliza o software de suporte LiveChat para imitar marcas reconhecidas como Amazon e PayPal. O golpe começa com e-mails fraudulentos que simulam comunicações legítimas, como notificações de reembolso ou pedidos pendentes. Esses e-mails contêm links que direcionam as vítimas a uma página falsa de atendimento ao cliente, onde os golpistas, muitas vezes se passando por chatbots, solicitam informações sensíveis, como dados de cartões de crédito e códigos de autenticação de dois fatores. A utilização de um software legítimo confere maior credibilidade ao golpe, embora erros gramaticais nas mensagens possam indicar que um humano está por trás da fraude. O relatório destaca que essa abordagem combina engenharia social e roubo de identidade, representando uma evolução nas técnicas de cibercrime. A análise humana e a desconfiança continuam sendo as melhores defesas contra esses ataques.

Pesquisadores da empresa de cibersegurança Group-IB emitiram um alerta sobre o aumento de fraudes relacionadas a falsos rastreios de encomendas online, especialmente utilizando o nome dos Correios. No último ano, mais de 100 campanhas maliciosas foram identificadas, com um pico de atividades entre junho e dezembro de 2025. Os golpistas enviam mensagens de phishing via SMS, alegando problemas na entrega e solicitando que as vítimas cliquem em links que levam a páginas falsas. Essas páginas pedem informações pessoais e financeiras, permitindo que os criminosos roubem dados sensíveis. Os especialistas notaram que muitos dos sites de phishing utilizados possuem características semelhantes a uma plataforma de Phishing como Serviço (PhaaS) de origem chinesa chamada Darcula. O descarte inadequado de etiquetas de encomendas também é uma porta de entrada para esses golpes, ressaltando a necessidade de cuidados redobrados ao rastrear encomendas.