A engenharia social evoluiu muito desde os tempos dos e-mails de phishing mal escritos, cheios de erros gramaticais e promessas absurdas. A mais recente ameaça documentada pelo Google representa um salto qualitativo nesse tipo de ataque: grupos criminosos organizados estão ligando diretamente para funcionários de grandes empresas financeiras nos seus telefones pessoais, fingindo ser colegas de trabalho ou equipes de suporte de TI para roubar credenciais de acesso. Em seguida, os criminosos extorquem as vítimas por quantias que chegam a 3 milhões de dólares.
A descoberta foi publicada pelo TechCrunch com base em pesquisa conduzida pela divisão de segurança do Google, que identificou pelo menos quatro grupos operando com essa metodologia: Falcon, Helix, Pink e Redact. Esses grupos possivelmente atuam de forma coordenada sob o coletivo maior conhecido como UNC6671, e têm como alvo prioritário empresas do setor financeiro de alto perfil nos Estados Unidos e em outros países.
Como funciona o ataque passo a passo
O ataque começa com uma ligação telefônica para o celular pessoal de um funcionário. A escolha pelo telefone pessoal, e não pelo número corporativo, é intencional e estratégica: os sistemas de monitoramento e segurança das empresas têm muito menos visibilidade sobre comunicações que ocorrem em dispositivos pessoais dos funcionários, reduzindo a probabilidade de que o ataque seja detectado em tempo real.
O atacante se apresenta como um colega de TI ou de outro departamento da empresa, e inicia a conversa com informações que parecem genuinamente legítimas: nome completo do alvo, cargo atual, equipe em que trabalha e detalhes sobre projetos recentes. Essas informações são coletadas previamente em redes sociais profissionais como o LinkedIn, em sites corporativos e em outras fontes públicas de informação, uma técnica conhecida como OSINT (inteligência de fontes abertas).
Em seguida, o atacante cria um senso de urgência artificial: “Estamos detectando atividade suspeita na sua conta” ou “Precisamos verificar suas credenciais por causa de uma atualização urgente de segurança, e se não resolvermos agora, sua conta será bloqueada.” A vítima é então direcionada para um site fraudulento que parece visualmente idêntico ao portal corporativo da empresa, onde insere suas credenciais e o código de autenticação de dois fatores.
O atacante usa esse código imediatamente, em tempo real, antes que ele expire. Com essas informações em mãos, os criminosos acessam os sistemas corporativos, identificam e copiam dados sensíveis, e depois entram em contato para exigir pagamento em troca de não tornar pública a violação.
As empresas-alvo e os valores envolvidos
Os grupos identificados pelo Google miraram especificamente em empresas do setor financeiro de alto perfil, priorizando alvos com ativos significativos e reputação a proteger. Entre os alvos documentados estão nomes de peso como Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s e TPG.
As exigências de resgate variam de 750 mil a 3 milhões de dólares, pagos em criptomoedas para dificultar o rastreamento. Em pelo menos uma carteira de bitcoin monitorada pelos pesquisadores do Google, foram identificadas transações totalizando aproximadamente 10 milhões de dólares apenas no início de 2026, o que sugere que a operação tem sido financeiramente bem-sucedida para os criminosos.
Os grupos operam sites na dark web onde publicam provas dos ataques realizados e ameaçam divulgar dados sensíveis de empresas que se recusam a pagar. Uma das mensagens encontradas pelos pesquisadores dizia: “Conduzimos cada negociação em termos profissionais. A publicação dos seus dados nunca é nossa resolução preferida”, uma tentativa calculada de criar uma aparência de “profissionalismo” em torno de uma operação essencialmente criminosa.
Por que o vishing é tão eficaz
A técnica utilizada pelos grupos, conhecida como “vishing” (contração de voice phishing, ou phishing por voz), tem uma vantagem fundamental sobre os ataques tradicionais por e-mail: as pessoas estão muito mais acostumadas a questionar um e-mail suspeito do que uma ligação telefônica aparentemente plausível.
Enquanto a maioria dos usuários de tecnologia já desenvolveu algum nível de ceticismo diante de e-mails pedindo credenciais ou solicitando ações urgentes, uma ligação telefônica de alguém que conhece seu nome, cargo e detalhes do seu trabalho cotidiano ativa mecanismos de confiança muito mais profundos e difíceis de questionar no calor do momento.
Outro fator crítico é a pressão temporal: “precisamos resolver isso agora ou sua conta será bloqueada em 10 minutos”. Essa urgência artificial reduz significativamente a capacidade de análise crítica e a disposição de questionar a legitimidade da solicitação. O funcionário age por instinto de resolver um problema, sem tempo para verificar as informações de forma independente.
Além disso, a autenticação de dois fatores, que deveria ser uma camada adicional de proteção contra acessos não autorizados, pode ser completamente contornada quando a vítima é levada a inserir o código de verificação no site falso em tempo real durante a ligação. O atacante usa o código imediatamente no site legítimo, enquanto o prazo de validade ainda não expirou.
Implicações para empresas no Brasil e no mundo
Embora os alvos documentados pelos pesquisadores do Google sejam principalmente empresas com sede nos Estados Unidos, a metodologia do vishing não tem fronteiras geográficas. Empresas brasileiras com operações internacionais, conexões com o mercado financeiro global ou com presença em múltiplos países são candidatas naturais a esse tipo de ataque.
O Brasil é um dos maiores mercados financeiros emergentes do mundo, com um ecossistema robusto de bancos, fundos de investimento, fintechs e gestoras de patrimônio. Funcionários de qualquer uma dessas organizações podem ser alvos viáveis para grupos criminosos que procuram ampliar suas operações além das fronteiras americanas.
Mais do que isso, a técnica pode ser adaptada para praticamente qualquer setor. Empresas de tecnologia, saúde, energia, varejo ou manufatura que lidam com propriedade intelectual valiosa ou com dados sensíveis de clientes representam alvos potencialmente lucrativos para operações de extorsão.
Como se proteger contra vishing
A defesa contra ataques de vishing requer uma combinação de treinamento humano consistente e políticas organizacionais claras e aplicadas.
Toda empresa deve ter protocolos explícitos para verificação de identidade em ligações internas, especialmente quando a solicitação envolve credenciais de acesso ou ações em sistemas corporativos. O procedimento mais simples e eficaz é orientar os funcionários a desligar a ligação e ligar de volta para o número oficial do departamento em questão, usando o diretório corporativo e não o número exibido na tela durante a ligação recebida. Esse único comportamento é suficiente para neutralizar a maioria dos ataques de vishing.
Do ponto de vista técnico, soluções de autenticação resistentes a phishing representam uma defesa muito mais robusta do que os métodos tradicionais de dois fatores. Chaves de segurança físicas compatíveis com o padrão FIDO2 e passkeys vinculadas ao domínio legítimo do serviço simplesmente não funcionam em sites falsos, eliminando a possibilidade de roubo de códigos em tempo real.
Monitoramento de acesso com alertas em tempo real para logins a partir de locais geográficos, dispositivos ou horários não reconhecidos é essencial para detectar rapidamente quando uma credencial foi comprometida. Quanto mais rápido a empresa identifica o acesso não autorizado, menores os danos potenciais.
A realidade é que os atacantes continuarão aprimorando suas técnicas à medida que as defesas melhoram. A única resposta duradoura é uma cultura organizacional de segurança em que todos os funcionários, do estagiário ao CEO, entendam que são tanto um alvo em potencial quanto a primeira linha de defesa da empresa. Em segurança digital, o elo mais fraco da corrente frequentemente é humano, e é nesse elo que os melhores atacantes focam seus esforços.
Leia a reportagem completa (em inglês) no TechCrunch: Google says hackers are calling financial firm employees to hack and extort victims
