Discover how the Spring Ring vishing campaign uses Microsoft Teams phishing tactics to trick employees into installing malware and giving up remote access.
Related Posts:
US Offers $10M for IRGC Cyber Leader
Coder Registry Attack: Hijacked Cloudflare Pool Served Malicious Terraform Modules
Toy Ghouls Backdoor Uses HiveMQ and Element for C2
The post Spring Ring Vishing Campaign Targets Microsoft Teams appeared first on Daily CyberSecurity.
Discover how the Spring Ring vishing campaign uses Microsoft Teams phishing tactics to trick employees into installing malware and giving up remote access.
AnonyMousKIT is an AI-powered PhaaS platform that phones iPhone theft victims as fake Apple Support to steal passcodes and beat Activation Lock.
Related Posts:
Dark Caracal Deploys New GoCaracal Malware Framework
Cambodia Malware Campaign Uses PNG Files to Deliver SparkRAT
BREEZE COMET Threat Actor Attacks Brazilian Banks
The post AnonyMousKIT Uses AI Voice Calls to Unlock Stolen iPhones appeared first on Daily CyberSecurity.
Learn how the Spring Ring campaign abuses Microsoft Teams and voice phishing to deploy malware and target enterprise domain controllers.
The post Spring Ring: An Inside Look at Voice Phishing Campaigns in Microsoft Teams appeared first on Unit 42.
Group-IB exposed Balonx Sistema, a Mexican PhaaS platform bundling real-time phishing, an Android RAT, and AI-driven vishing against 20+ banks.
Related Posts:
Core Werewolf Deploys New CoreRAT Malware Against Russian Targets
StopAndProtect Malware Turns Hacked WordPress Sites Into a Botnet
Cisco Talos Exposes UAT-10147 Agentic AI Attacks
The post Balonx Sistema: Mexican PhaaS Adds AI Vishing and RAT appeared first on Daily CyberSecurity.
Rapid7 exposed Operation ASTERIX, a crypto fraud operation using AI, vishing, and fake wallet apps to steal seed phrases from validated holders.
Related Posts:
Cisco Talos Exposes UAT-10147 Agentic AI Attacks
Operation QUICSILVER Targets Myanmar Government With Go Backdoor
arrayref Rust Crate Hijacked in Supply Chain Attack With DPRK Infrastructure Overlap
The post Operation ASTERIX: Crypto Scam Used AI and Fake Wallets appeared first on Daily CyberSecurity.
UNC6671 vishing extortion group rebrands across five names, using AiTM credential phishing to hit financial services and enterprise cloud accounts.
Related Posts:
Lazarus Exploits Windows Zero-Day in Operation Dream Job Attacks
Greatness PhaaS Platform Steals Microsoft 365 Tokens Past MFA
SMOKE#SCREEN Campaign Abuses ScreenConnect RMM for Stealthy Remote Access
The post UNC6671 Vishing Extortion Rebrands Across 5 Brands appeared first on Daily CyberSecurity.
A cyberattack on Wall Street recently targeted several leading hedge funds, including Point72 Asset Management, Millennium Management, Two Sigma Investments, and Citadel. The attackers used voice phishing, or "vishing," to trick employees into revealing sensitive information or granting access to internal systems.
Cybersecurity experts say such attempts are common because financial institutions store highly sensitive data. However, the latest incidents highlight how cybercriminals are increa
A cyberattack on Wall Street recently targeted several leading hedge funds, including Point72 Asset Management, Millennium Management, Two Sigma Investments, and Citadel. The attackers used voice phishing, or "vishing," to trick employees into revealing sensitive information or granting access to internal systems.Cybersecurity experts say such attempts are common because financial institutions store highly sensitive data. However, the latest incidents highlight how cybercriminals are increasingly combining traditional social engineering tactics with artificial intelligence to make impersonation attempts more convincing.
Point72 Says No Client Data Was Compromised
According to reports, Point72 Asset Management informed investors on August 5 that it had been targeted in the latest cyberattack on Wall Street. Bloomberg first reported the communication, citing a source familiar with the matter.The firm said it was reviewing the incident and that no client information had been stolen. Point72 declined to comment publicly.The campaign extended beyond Point72, with hackers also attempting to breach the information systems of Millennium Management, Two Sigma Investments, and Citadel, according to sources.
Voice Phishing Remains an Effective Attack Method
The attackers relied on voice phishing, a social engineering technique in which criminals impersonate trusted individuals—often IT support staff—to persuade employees to disclose confidential information or provide system access.Cybersecurity experts told Reuters that these attacks are routine because of the valuable information held by financial firms. Rather than exploiting software vulnerabilities, voice phishing succeeds by manipulating human behaviour.The tactic has also been used successfully by the cybercriminal group "Scattered Spider," a loosely organized network of young hackers that has targeted numerous companies in recent years.
AI Is Increasing the Sophistication of Cyberattacks
Security experts say the attempted cyberattack on Wall Street demonstrates how artificial intelligence is making social engineering campaigns more persuasive and difficult to detect.A similar trend was highlighted in June, when Google's cybersecurity unit published a report detailing a campaign targeting U.S. law firms and other professional and financial services organizations. According to the report, attackers posed as IT support personnel through voice phishing calls and, in some cases, even visited offices while pretending to be IT maintenance staff.
Growing Cyber Risks for Financial Firms
The attempted cyberattack on Wall Street comes as organizations worldwide face a rise in AI-powered cyberattacks and ransomware incidents that disrupt operations and steal sensitive data.In response to the growing threat, the White House announced a working group earlier this year that brings together AI developers and critical infrastructure operators to share threat intelligence and strengthen cyber defenses.Although Point72 said no customer information was compromised, the attempted attacks on several prominent hedge funds underscore the persistent cybersecurity risks facing the financial sector and the increasing use of AI-enhanced social engineering by threat actors.
In this article
Attack chain overviewImproving visibility into Salesforce OAuth abuseMitigation and protection guidanceLearn more
In a series of campaigns observed between mid-2025 and mid-2026, Microsoft identified threat actor activity with overlapping tradecraft commonly associated with ShinyHunters, including voice phishing (vishing) and supply chain compromise, to target customer SaaS-based applications such as Salesforce instances. The threat actors a
In a series of campaigns observed between mid-2025 and mid-2026, Microsoft identified threat actor activity with overlapping tradecraft commonly associated with ShinyHunters, including voice phishing (vishing) and supply chain compromise, to target customer SaaS-based applications such as Salesforce instances. The threat actors abused trusted OAuth relationships for unauthorized access, data exfiltration, and persistence.
Two primary intrusion paths were observed including vishing techniques targeting OAuth consent and supply chain compromise through trusted workflows and integrations such as Salesloft and Gainsight. Abuse of these access paths led to inherited user and application privileges, allowing successful enumeration and querying of customer relationship management (CRM) records while evading conventional authentication detections. These intrusion paths often led to persistent access and exfiltration of data at scale. This tradecraft highlights how a single entry point can rapidly expand to greater enterprise impacts.
Microsoft observed activity associated with these techniques in many tenants from various industries such as retail, education and manufacturing. These findings reinforce the importance of monitoring OAuth-connected applications, validating third-party integrations, reviewing configurations, and enabling Salesforce event monitoring. Leveraging this data, Microsoft consulted with Salesforce to improve granularity in telemetry for Defender for Cloud Apps with near-real-time detection, offering connected application attribution and expanded application permission insights. This activity was not the result of a vulnerability inherent to Salesforce. Rather, the threat actors abused trusted OAuth relationships for unauthorized access, data exfiltration, and persistence.
Attack chain overview
Threat actor campaigns targeting Salesforce customers and using tradecraft associated with ShinyHunters pose a high-impact risk to sensitive data and downstream SaaS ecosystems. These campaigns abuse OAuth trust relationships to operate within pre-existing, legitimate workflows.
Figure 1. Commonly observed attack paths for SaaS applications.
Observed activity can be grouped into two primary intrusion paths:
Voice‑phishing-driven OAuth consent abuse
In campaigns beginning in mid-2025, the threat actors conducted vishing attacks impersonating IT support personnel. Threat actors socially engineered employees into authorizing attacker-controlled connected apps within their Salesforce tenant. In several confirmed cases, threat actors guided users through the OAuth consent workflow to grant access to a malicious application disguised as a legitimate Salesforce Data Loader tool. After users granted consent, these highly privileged OAuth applications enabled threat actors to perform API calls on behalf of the victim user, facilitating:
Enumeration of Salesforce instances belonging to targeted organizations
Persistent access to Salesforce CRM data
Possible lateral movement into other SaaS platforms through discovered credentials
This intrusion path exploits the OAuth authorization flow of trusted SaaS services rather than relying on malware or credential replay. Threat actors exfiltrate data through sanctioned application access inherited from user privileges.
Following initial access campaigns, threat actors escalated into supply‑chain-driven attacks targeting third‑party SaaS vendors offering popular solutions that integrate with Salesforce, often using OAuth tokens. In August 2025, compromised Salesloft Drift credentials enabled attackers to obtain connection secrets used by downstream SaaS applications, enabling the use of OAuth tokens in multiple customer Salesforce instances.
A subsequent campaign in November 2025 targeted Gainsight-published applications integrated with Salesforce, allowing attackers to leverage trusted external connections to maintain persistent API access in multiple Salesforce customer instances. These activities often appeared indistinguishable from legitimate integration behavior. Threat actors performed discovery, bulk data queries, and mass exfiltration of sensitive CRM records, including accounts, contacts, and service case data, without generating traditional sign-in anomalies. More recently, in June 2026, the market intelligence platform Klue experienced an incident where a threat actor, Storm-3138, gained access to its system. Credentials used to access Salesforce customer instances were used in the same fashion, to discover, query, and exfiltrate data.
Investigations into these campaigns exposed a recurring challenge for security teams: malicious activity often appeared indistinguishable from legitimate Salesforce usage because threat actors operated through trusted identities, approved OAuth applications, and authorized integrations. Traditional authentication-focused detections frequently provided limited visibility into the resulting application activity.
To improve investigation and detection of these scenarios, Microsoft expanded Salesforce visibility in Defender for Cloud Apps through additional event telemetry, connected application attribution, and enhanced application permissions insights. These capabilities help security teams identify suspicious OAuth activity, investigate potentially compromised integrations, and better understand how access was obtained and used within customer Salesforce instances.
Key capabilities include:
Near-real-time visibility into Salesforce security and activity events.
Connected application attribution, including application identity and granted OAuth scopes.
Expanded identity, session, and API activity context to support investigations.
Improved correlation within Microsoft Defender to help identify suspicious activity spanning identities, applications, and SaaS environments.
Together with Salesforce Shield: Event Monitoring, these capabilities help security teams investigate suspicious OAuth activity, validate the legitimacy of connected applications, and better understand the potential impact of a compromise.
New posture and governance capabilities for connected OAuth apps
While improved detection is critical, recent incidents have also highlighted the need for stronger preventive controls and ongoing governance of OAuth-connected applications. To address this, Microsoft Defender introduces new posture capabilities for connected and external client apps in Salesforce. Security teams can gain visibility into each OAuth app and its non-human identity, prioritize risk, and reduce the attack surface.
Deep visibility into app permissions and access
Microsoft Defender provides comprehensive visibility into all Salesforce-integrated connected and external client apps, including granted OAuth scopes and privileges.
Figure 2. Complete permission visibility for Salesforce connected apps and external client apps.
Highly privileged apps
Security teams often struggle to identify applications with powerful administrative or sensitive permissions. The highly privileged apps insight highlights applications that have been granted elevated scopes, enabling quick identification of apps that may pose significant risk.
Additionally, security teams can use permission-based filters to identify apps with specific high-risk scopes and validate whether such access is justified.
Figure 3. Identity inventory to identify highly privileged Salesforce apps.
Unused apps
Organizations often create applications for temporary or one-time use, but those applications are rarely removed afterward. These unused apps continue to retain permissions, creating unnecessary exposure. With the recent changes, Defender now allows security teams to identify applications that have been inactive for extended periods (for example, 90 days or more), making it easy to review and revoke access where appropriate to reduce the attack surface.
Figure 4. Identity inventory to discover unused Salesforce apps.
Risk-based prioritization of connected apps
To further streamline investigation and response, Defender introduces a comprehensive risk scoring model for connected applications. Each application is assigned a numerical risk score [0-100] based on multiple risk indicators, such as usage patterns, permission sensitivity, and behavioral signals. This allows security teams to prioritize efforts effectively and focus on applications that require immediate attention. Security teams can create custom policies based on risk thresholds to trigger alerts, actions, and notifications.
Figure 5. Use actionable insights to identify apps exceeding a defined risk threshold.
Risk score investigation
To further investigate the specific Non-Human identity risk details, the factors contributing to the risk score are available in Non-Human Identities Risk score tab.
Figure 6. Detailed risk insights explaining factors contributing to the risk score.
Mitigation and protection guidance
Microsoft recommends the following mitigations to reduce the impact of this threat. Check the recommendations card for the deployment status of monitored mitigations.
Microsoft Defender for Cloud Apps customers can connect their Salesforce instance to get improved visibility and threat detection capabilities.
Microsoft Defender customers can refer to the list of applicable detections including new detections powered by the upgraded Microsoft Defender for Cloud Apps Salesforce connector. Microsoft Defender coordinates detection, prevention, investigation, and response for endpoints, identities, email, and apps to provide integrated protection against attacks like the threat discussed in this blog.
Customers with provisioned access can also use Microsoft Security Copilot in Microsoft Defender to investigate and respond to incidents, hunt for threats, and protect their organization with relevant threat intelligence.
Tactic
Observed activity
Microsoft Defender coverage
Initial Access
A user’s Salesforce session was hijacked and used
Salesforce detected a possibly hijacked user session
Credential Access
A user was the target of credential stuffing activity
Salesforce detected a successful credential stuffing attack
Lateral Movement
A user with a very high risk score is signing into Salesforce via SSO
Salesforce SSO sign-in by high-risk user
Collection / Exfiltration
API-heavy access, report export, and scraping patterns; potential multi-SaaS expansion depending on victim footprint.
– Possible Salesforce scraping activity – Salesforce detected a user performing anomalous API activity – Salesforce detected a user performing anomalous report activity
Collection / Exfiltration
Anomalous behavior from Salesforce Connected Apps
– Salesforce Connected App activity from a new IP address – Salesforce Connected App activity involving new Salesforce entity – Salesforce Connected App activity involving new endpoint(s)
Collection / Exfiltration
Guest user activity associated with the AuraInspector framework
Suspicious Salesforce Aura Activity
Collection / Exfiltration
Anomalous behavior from a guest user
Salesforce detected a guest user performing anomalous activity
Threat intelligence reports
Microsoft customers can use the following reports in Microsoft products to get the most up-to-date information about the threat actor, malicious activity, and techniques discussed in this blog. These reports provide intelligence, protection information, and recommended actions to prevent, mitigate, or respond to associated threats found in customer Salesforce instances.
NOTE: The sample queries let you search one week of events. To inspect events and hunt for threat actor-related indicators over a longer period, go to the Advanced Hunting page > Query tab, and use the calendar dropdown to set the time range to Last 30 days (the maximum for raw data).
Hunt for Salesforce connected-app activity from suspicious infrastructure
CloudAppEvents
| where Application == "Salesforce"
| where ActionType in ("ApiTotalUsage", "API Event")
| extend ConnectedAppId = tostring(
coalesce(
RawEventData.CONNECTED_APP_ID, // from ApiTotalUsage
RawEventData.ConnectedAppId // from API Event
)
)
| where isnotempty(ConnectedAppId)
| where array_length(UncommonForUser) > 0 // at least 1 attribute is flagged as uncommon
Hunt for API activity associated with connected apps and relevant user ids
CloudAppEvents
| where Application == "Salesforce"
| where ActionType in ("ApiTotalUsage", "API Event")
| extend SalesforceUserId=coalesce(tostring(RawEventData.USER_ID), tostring(RawEventData.UserId))
| extend ConnectedAppName=tostring(RawEventData.CONNECTED_APP_NAME) // Connected App Name is not available on the ApiEvent event
| summarize count() by AccountObjectId, AccountId, AccountDisplayName, SalesforceUserId, IPAddress, UserAgent, ConnectedAppName
Hunt for anomalous report export / large data access
CloudAppEvents
| where Application == "Salesforce"
| where ActionType == "ReportExport"
| extend SalesforceUserId = tostring(RawEventData.USER_ID)
| summarize Events=count() by AccountObjectId, AccountId, AccountName, SalesforceUserId, IPAddress, UserAgent
Pivot from a suspicious connected app (name/id) to impacted users and actions
CloudAppEvents
| where Application == "Salesforce"
| where RawEventData has ""
| project Timestamp, AccountId, AccountDisplayName, ActionType, IPAddress, UserAgent, RawEventData
| order by Timestamp desc
Audit queries to verify what objects users are accessing
CloudAppEvents
| where Application == "Salesforce"
| where ActionType == "UniqueQuery"
| extend
QueryText = tostring(RawEventData.QUERY_IDENTIFIER), // Full query text
QueryObject = extract(@"(?i)\bfrom\s+([^\s]+)", 1, tostring(RawEventData.QUERY_IDENTIFIER)), // Extract just the target object
SalesforceUserId = tostring(RawEventData.USER_ID)
| where QueryText != "SOQL"
| project Timestamp, AccountDisplayName, SalesforceUserId, QueryObject, QueryText
Hunt for users with very high Defender risk score signing into Salesforce
let VeryRiskyUsers = IdentityInfo
| where RiskScore >= 90
| distinct AccountObjectId
CloudAppEvents
| where Application == "Salesforce"
| where ActionType has "sso" or ActionType has "saml"
| where AccountObjectId in (VeryRiskyUsers)
| project Timestamp, AccountObjectId, AccountDisplayName, ActionType, UserAgent
| order by Timestamp desc
Indicators of compromise (IOC)
After further investigation, Microsoft has discovered that two of the reported IP addresses belong to a researcher conducting attack research. We have removed the IOCs from this report.
Indicator
Type
Description
138.226.246.94
IP address
Used by the Klue integration to call Salesforce API to perform CRM queries on June 11. Previously disclosed by Klue in their notification about the breach.
212.86.125.24
IP address
213.111.148.90
IP address
94.154.32.160
IP address
MITRE ATT&CK techniques observed
Initial Access
T1566.004 Phishing: Voice Phishing: Impersonating IT support to get victims to grant access.
T1528 Steal Application Access Token: Using stolen OAuth tokens from Salesloft and Gainsight.
Persistence
T1671 Cloud Application Integration: Leveraging Connected Apps for access to a customer Salesforce environment.
Collection
T1213.004 Data from Information Repositories: Customer Relationship Management Software: Stealing data from a customer Salesforce environment.
Exfiltration
T1567 Exfiltration Over Web Service: Usage of the fake Data Loader application to steal data.
This research is provided by Microsoft Defender Security Research, Shruti Ranjit, Doug Cranston, Anand Deshpande, Ronen Rafaeli, and with contributions from members of Microsoft Threat Intelligence.
To hear stories and insights from the Microsoft Threat Intelligence community about the ever-evolving threat landscape, listen to the Microsoft Threat Intelligence podcast.
Review our documentation to learn more about our real-time protection capabilities and see how to enable them within your organization.
Infelizmente, não são apenas as pessoas ingênuas que caem em golpes e ataques de phishing. Hoje, literalmente qualquer pessoa pode se tornar uma vítima. Os criminosos virtuais passam anos aperfeiçoando suas táticas para aumentar suas chances de sucesso, recorrendo a sofisticadas técnicas de manipulação psicológica que, muitas vezes, são difíceis de perceber. No universo da cibersegurança, esse tipo de jogos psicológicos tem até um nome: engenharia social.
Neste artigo, explicamos os truques psic
Infelizmente, não são apenas as pessoas ingênuas que caem em golpes e ataques de phishing. Hoje, literalmente qualquer pessoa pode se tornar uma vítima. Os criminosos virtuais passam anos aperfeiçoando suas táticas para aumentar suas chances de sucesso, recorrendo a sofisticadas técnicas de manipulação psicológica que, muitas vezes, são difíceis de perceber. No universo da cibersegurança, esse tipo de jogos psicológicos tem até um nome: engenharia social.
Neste artigo, explicamos os truques psicológicos que os golpistas usam para enganar suas vítimas, os sinais de alerta aos quais você deve ficar atento e exatamente o que fazer se perceber que está sendo manipulado.
As emoções usadas como armas pelos golpistas
A engenharia social funciona justamente porque desperta nossas emoções mais profundas. Quando uma vítima está ansiosa, apavorada ou envolvida emocionalmente em uma situação, tende a tomar decisões impulsivas, sem refletir sobre as consequências. E é exatamente nisso que os hackers apostam.
Por isso, em um momento de tensão, enquanto conversa por telefone ou troca mensagens com alguém que faz exigências, você precisa parar por um instante e se perguntar: “O que exatamente estou sentindo neste momento? O que eu estava sentindo há alguns instantes? Essa pessoa está tentando explorar meu estado emocional?”
Na maioria das vezes, os golpistas tentam explorar emoções como:
Medo e ansiedade
Entusiasmo
Vergonha e culpa
Surpresa e choque
Antes de tudo, confirme com quem você está realmente lidando
Antes mesmo de procurar sinais de alerta, verifique um aspecto fundamental: com quem você realmente está falando? Se você estiver conversando, por exemplo, com alguém que afirma ser um “representante do banco”, a melhor opção é pesquisar o número de telefone e o endereço de e-mail oficiais da instituição. Ligue para o banco ou envie uma mensagem para um endereço que você saiba ser 100% legítimo. É sempre melhor prevenir do que remediar.
Redobre a atenção se alguém entrar em contato com você por um aplicativo de mensagens ou pelas redes sociais. Em geral, grandes empresas simplesmente não utilizam esses canais para esse tipo de abordagem.
Sinais claros de que você está lidando com um golpista
Ele coloca você em uma verdadeira montanha-russa emocional
Imagine que você receba um e-mail da “equipe de suporte” de um serviço de streaming que utiliza. A mensagem informa que alguém acabou de tentar fazer login na sua conta de outro país: o suficiente para provocar um susto imediato. Logo em seguida, porém, vem o alívio: “Não se preocupe. Bloqueamos a tentativa de login suspeita a tempo. Sua conta está segura”.
Mas os golpistas não param por aí. No parágrafo seguinte, eles fazem você entrar novamente em estado de alerta: “Infelizmente, durante nossa verificação de segurança, descobrimos que suas informações de pagamento podem ter sido comprometidas”. Por fim, oferecem uma aparente solução: “Estamos prontos para ajudá-lo a resolver isso agora mesmo. Basta clicar neste link para verificar sua identidade”.
Ao final da leitura dessa suposta “atualização urgente”, você passou por uma sucessão de emoções em poucos instantes. O objetivo dessa montanha-russa emocional é desestabilizar você para que deixe de pensar de forma crítica e passe simplesmente a reagir. E, no momento em que o golpista apresenta uma suposta solução para o problema, sua capacidade de julgamento fica seriamente comprometida.
Eles sabem um pouco demais sobre você
Os golpistas costumam bombardear deliberadamente suas vítimas com informações pessoais para dar a impressão de que realmente sabem do que estão falando e têm acesso legítimo aos seus dados confidenciais.
O simples fato da pessoa do outro lado conhecer detalhes sobre sua identidade, suas finanças ou seus contratos não significa que ela seja confiável. Graças aos inúmeros vazamentos de dados já ocorridos, existe um enorme volume de informações pessoais disponível sobre praticamente todos nós. Para um hacker, pode ser surpreendentemente fácil descobrir quanto você gastou com entregas de supermercado no ano passado, qual é a sua operadora de telefonia móvel ou qual endereço de e-mail está vinculado à sua conta bancária.
Eles tentam intimidar você, às vezes, com ameaças e extorsão
Em alguns casos, essas mensagens podem parecer completamente neutras e reproduzir com perfeição um e-mail legítimo da equipe de suporte. No entanto, se o tom for excessivamente dramático e você sentir que está sendo pressionado, há cerca de 99,9% de chance de estar diante de um golpista. E, se a pessoa exigir que você tome alguma providência, como transferir dinheiro para uma conta aleatória ou fornecer informações confidenciais, sob ameaça de violência física, exposição pública ou processo criminal, essa probabilidade sobe para 100%.
Uma “pessoa muito importante” está entrando em contato com você
Para aumentar ainda mais sua ansiedade, os golpistas costumam assinar suas mensagens com o nome de autoridades de alto escalão. Quando isso acontecer, pare por um instante e pergunte a si mesmo: você realmente acredita que o chefe da Receita Federal ou o comandante da polícia local entraria em contato diretamente com você por telefone ou mensagem? Autoridades e investigadores de alto escalão normalmente têm questões muito mais importantes para tratar. E, se você receber uma mensagem acusando-o de um crime grave, supostamente assinada pelo procurador-geral da sua cidade, esse é um forte indício de que se trata de um golpe.
Você recebeu uma oferta boa demais para ser verdade
Desconfie de demonstrações inesperadas de generosidade ou de presentes que simplesmente aparecem do nada. Veja uma pequena lista do que pode acontecer com você:
Você recebe um pacote inesperado com um código QR impresso na caixa. Informam que basta escaneá-lo para descobrir quem enviou o presente, resgatar um cupom do vendedor ou confirmar a entrega para evitar uma taxa de frete. Não é difícil imaginar que o código QR, na verdade, levará para um site de phishing. A partir daí, é a vez dos golpistas brilharem: eles podem tentar roubar os dados do seu cartão, convencê-lo a baixar um aplicativo com malware ou induzi-lo a informar um código de verificação do seu aplicativo bancário.
“Olá! Estou ligando da central de entregas. Você tem um pacote (ou um buquê de flores) a caminho. Poderia informar o código de verificação que acabamos de enviar por SMS para que possamos liberar seu presente?”. Veja, todo mundo gosta de receber um presente surpresa. Mas, no entusiasmo do momento, é fácil baixar a guarda e acidentalmente dar aos golpistas um presente ainda maior: o código de acesso à sua conta de serviços governamentais.
Eles pressionam você e tentam isolá-lo do mundo exterior
“Não desligue! Esta é sua última chance de recuperar o acesso à sua conta.”, “Se você não responder a este e-mail em até oito horas, tomaremos medidas judiciais contra você.”, “Vá imediatamente ao banco para proteger o dinheiro que ainda resta na sua conta e transfira-o para uma conta segura.” Se frases como essas forem usadas para levar você a agir imediatamente, pare um segundo. Os golpistas estão apenas tentando assustá-lo e criar uma falsa sensação de urgência.
Essa é uma tática clássica. Imagine receber uma ligação de um golpista que se apresenta como representante do banco ou até mesmo um funcionário do Departamento de Comércio, alegando que suas contas bancárias foram invadidas. Em seguida, essa pessoa pede que você assine um acordo de confidencialidade, supostamente para facilitar a recuperação do seu dinheiro, e ameaça processá-lo caso você conte o que está acontecendo a qualquer pessoa, inclusive aos seus familiares mais próximos. Ela insistirá que o caso é “muito sério”, exige providências imediatas e que a cooperação com as autoridades “deve permanecer em absoluto sigilo”.
Lembre-se: representantes legítimos de empresas ou autoridades governamentais jamais pediriam que você mantivesse segredo, a menos que você lide com dados governamentais sigilosos ou tenha assinado um acordo de confidencialidade (NDA) corporativo formal. Os golpistas procuram isolar suas vítimas de qualquer rede de apoio, voz da razão ou opinião externa. E eles não apenas afastam você das pessoas: também impedem seu acesso à informação. Eles fazem questão de mantê-lo em uma ligação contínua ou enviam uma sequência de mensagens carregadas de apelo emocional para que você não tenha sequer alguns segundos para respirar, muito menos para pesquisar o assunto na internet.
Quando você está em um estado de ansiedade intensa, torna-se muito mais fácil cair nessas manipulações e tomar decisões precipitadas, mesmo quando acha que está apenas tentando resolver o problema. Nunca tenha receio de pedir ajuda. Buscar uma segunda opinião sobre o que está acontecendo é sempre uma atitude sensata.
Eles tentam fazer você se sentir culpado
Imagine que você receba uma notificação informando que sua conta foi comprometida, juntamente com uma solicitação para entrar em contato com o suporte. Durante o atendimento, porém, o suposto “representante do suporte” começa a fazer perguntas para despertar um sentimento de culpa: “Quando foi a última vez que você trocou sua senha? Faz muito tempo? Você não viu nossos avisos urgentes para atualizar suas credenciais?”. Ou então: “Veja bem, a mensagem de texto dizia claramente para não compartilhar esse código com ninguém! Por que você o informou?”. Essa é uma tática deliberada para fisgá-lo com um sentimento de culpa, fazendo com que você sinta que perdeu o controle e precisa da experiência e da ajuda do golpista.
Mesmo que você realmente tenha cometido um erro, não se culpe. Cair em uma armadilha desse tipo é muito mais fácil do que parece. Basta um dia particularmente estressante no trabalho e uma ligação chegando exatamente no pior momento possível.
De repente, você recebe um alerta dizendo que estava conversando com golpistas
Os golpistas adoram aplicar golpes complexos, com várias etapas. Por exemplo, primeiro eles podem tentar convencer você a fornecer o código de acesso do seu aplicativo bancário sob o pretexto de atualizar as informações da sua conta. Mas, de repente, a ligação cai ou você recebe, em seguida, uma mensagem dizendo que acabou de conversar com um golpista, que sua conta foi comprometida e que, para sua própria segurança, é necessário entrar em contato com o suporte imediatamente. Em alguns casos, pessoas que se apresentam como “agentes federais” ou “autoridades policiais” entram em cena para participar da conversa.
O problema é que essa suposta “equipe de segurança” faz parte exatamente da mesma quadrilha que está aplicando o golpe. Eles começam a insistir que todo o seu dinheiro está prestes a cair nas mãos de criminosos, a menos que você o transfira para uma “conta segura”, ou dizem que empréstimos já foram contratados em seu nome.
Não entre em contato com números ou endereços de e-mail desconhecidos enviados em mensagens, mesmo que prometam ajudá-lo. Procure o site oficial da empresa ou do órgão, localize os canais oficiais de atendimento e utilize apenas esses meios de contato.
Lembre-se: nenhum órgão governamental (e muito menos uma empresa privada) monitora suas ligações para verificar se você está conversando com golpistas. Sua melhor defesa contra golpistas telefônicos é um aplicativo de identificação de chamadas com um vasto banco de dados que avisa se a chamada é suspeita antes mesmo de você atender.
O que fazer se você caiu em um golpe
Antes de qualquer coisa: não se culpe. Qualquer pessoa pode ser pega de surpresa e acabar sendo enganada em um momento de vulnerabilidade. Tente não entrar em pânico e lembre-se exatamente de quais informações você forneceu. As providências a tomar dependem disso:
Você informou um código de verificação enviado por SMS ou a senha de uma conta → Altere imediatamente sua senha para esse serviço, bem como para quaisquer outras contas onde você a tenha reutilizado. Ative a autenticação de dois fatores, caso ainda não tenha feito isso.
Você forneceu os dados do seu cartão → Entre em contato imediatamente com o banco e solicite o bloqueio do cartão. Se já houve um débito ou transferência não autorizada, pergunte como contestar a transação.
Você clicou em um link suspeito ou baixou um arquivo de um remetente desconhecido → Faça uma verificação do dispositivo com um antivírus confiável. Tentar descobrir por conta própria se o dispositivo foi infectado por malware é praticamente impossível, pois essas ameaças costumam permanecer ocultas, sem apresentar sinais evidentes.
Não dê ouvidos aos golpistas
Veja algumas medidas que ajudam a proteger suas contas, seus dados e seu dinheiro:
Não tenha pressa. Se alguém estiver pressionando você para agir imediatamente (informar dados, fornecer um código ou enviar dinheiro), há uma grande chance de você estar falando com um criminoso virtual. Pare por um momento, ligue para a empresa usando o telefone oficial disponível no site e confirme se realmente há alguma solicitação.
Deixe a proteção por conta do Kaspersky Premium. Ao contrário de uma pessoa, nosso pacote de segurança, com Machine Learning e IA, é totalmente imparcial e identifica e-mails de phishing e arquivos maliciosos justamente nos momentos em que um usuário pode ter dúvidas ou hesitar. Ele bloqueia o acesso a sites suspeitos, impede tentativas de infecção do dispositivo, neutraliza malwares detectados e ajuda a manter seus dados e seu dinheiro protegidos.
Ative a autenticação de dois fatores nas contas mais importantes. Com o Kaspersky Password Manager, você pode gerar códigos de login de uso único que mudam a cada 30 segundos, tornando-os muito mais difíceis de serem interceptados por golpistas do que códigos enviados por e-mail ou mensagem de texto.
Siga uma regra de ouro: nunca reutilize uma senha. Se você usa a mesma senha em vários serviços, basta que um hacker descubra a senha de uma conta para obter acesso automático a todas as outras. Pequenas variações, como “Senha123” e “Senha1234!”, também não são suficientes, pois são extremamente fáceis de adivinhar. É claro que memorizar dezenas ou até centenas de senhas diferentes está longe de ser uma tarefa simples. É justamente por isso que um gerenciador de senhas é tão útil: ele armazena seus dados com segurança em um cofre criptografado e gera senhas fortes e exclusivas.
Confira também nossas outras postagens para obter mais dicas de segurança:
Cybersecurity researchers are warning businesses about Pink Extortion Group, a threat actor that uses voice phishing to bypass multi-factor authentication and steal files from cloud environments.
Cybersecurity researchers are warning businesses about Pink Extortion Group, a threat actor that uses voice phishing to bypass multi-factor authentication and steal files from cloud environments.
Todos os anos, golpistas inventam novas maneiras de enganar as pessoas, e 2025 não foi exceção. No ano passado, nosso sistema antiphishing bloqueou mais de 554 milhões de acessos a links de phishing, e nosso Antivírus de E-mail bloqueou quase 145 milhões de anexos maliciosos. Para completar, quase 45% de todos os e-mails no mundo acabaram sendo spam. Detalhamos abaixo os esquemas de phishing e spam mais impressionantes do ano passado. Caso queira se aprofundar no assunto, leia o relatório comple
Todos os anos, golpistas inventam novas maneiras de enganar as pessoas, e 2025 não foi exceção. No ano passado, nosso sistema antiphishing bloqueou mais de 554 milhões de acessos a links de phishing, e nosso Antivírus de E-mail bloqueou quase 145 milhões de anexos maliciosos. Para completar, quase 45% de todos os e-mails no mundo acabaram sendo spam. Detalhamos abaixo os esquemas de phishing e spam mais impressionantes do ano passado. Caso queira se aprofundar no assunto, leia o relatório completo Spam e Phishing em 2025 no Securelist.
Phishing no entretenimento
Os amantes de música e os cinéfilos foram os principais alvos de golpistas em 2025. Pessoas mal-intencionadas criaram sites para a venda de ingressos falsos, além de versões falsificadas de serviços de streaming populares.
Nesses sites falsos, os usuários recebiam ingressos “gratuitos” para grandes shows. A pegadinha? Eles só tinham que pagar uma pequena “taxa de processamento” ou o “custo de envio”. Naturalmente, o que aconteceu foi que o dinheiro ganho com esforço dos usuários foi direto para o bolso dos golpistas.
Ingressos gratuitos para ver a Lady Gaga? É furada!
No caso dos serviços de streaming, ocorreu o seguinte: os usuários receberam uma oferta tentadora para migrar suas listas de reprodução do Spotify para o YouTube inserindo suas credenciais do Spotify. Em outra ocasião, eles foram convidados a votar no seu artista favorito em uma enquete (uma oportunidade que a maioria dos fãs acha difícil deixar passar). Para adicionar uma camada de legitimidade, os golpistas citaram nomes como Google e Spotify. O formulário de phishing tinha como alvo várias plataformas ao mesmo tempo (Facebook, Instagram ou e-mails), e exigia que os usuários inserissem as credenciais das suas contas para votar.
Esta página de phishing que imita uma configuração de login múltiplo parece terrível; nenhum designer que se preze amontoaria tantos ícones diferentes em um único botão
No Brasil, os golpistas foram mais ousados: eles ofereceram aos usuários a chance de ganhar dinheiro apenas ouvindo e classificando músicas em um suposto serviço de um parceiro do Spotify. Durante o registro, os usuários tinham que fornecer o número do Pix (o sistema brasileiro de pagamento instantâneo) e, em seguida, fazer um “pagamento de verificação” único de R$ 19,90 (cerca de US$ 4) para “confirmar sua identidade”. Essa taxa representava, obviamente, uma fração dos “ganhos potenciais” prometidos. O formulário de pagamento parecia muito autêntico e solicitava dados pessoais adicionais, que provavelmente seriam coletados para ataques futuros.
Esse golpe se apresentou como um serviço cujo objetivo era aumentar as classificações e reproduções de músicas no Spotify, mas para começar a “ganhar”, primeiro era necessário pagar
O golpe do “namoro cultural” demonstrou muita criatividade. Depois do “match” e de algumas conversas breves em aplicativos de namoro, um novo “interesse amoroso” convidava a vítima para assistir a uma peça de teatro ou a um filme e enviava um link para comprar ingressos. Uma vez que o “pagamento” fosse concluído, o aplicativo de namoro e o site de venda de ingressos simplesmente desapareciam. Uma tática semelhante foi usada para vender ingressos para salas de fuga (escape rooms) imersivas, que ficaram muito populares recentemente; o design das páginas imitava sites reais para enganar os usuários.
Golpistas clonaram o site de um conhecido serviço de venda de ingressos da Rússia
Phishing em aplicativos de mensagens
O roubo de contas do Telegram e do WhatsApp se tornou uma das ameaças mais difundidas do ano. Os golpistas dominaram a arte de mascarar o phishing como atividades padrão do aplicativo de bate-papo e expandiram seu alcance geográfico de forma significativa.
No Telegram, as assinaturas Premium gratuitas foram a isca principal. Essas páginas de phishing só estavam disponíveis em russo e inglês, mas houve uma grande expansão para outros idiomas em 2025. As vítimas recebiam uma mensagem (geralmente da conta invadida de um amigo) oferecendo um “presente”. Para ativá-lo, o usuário precisava fazer login na sua conta do Telegram no site do invasor, o que levava imediatamente a outra conta invadida.
Outro golpe comum envolvia ofertas feitas por celebridades. Um ataque específico, disfarçado como uma oferta de NFTs, destacou-se porque operou por meio de um Telegram Mini App. Para o usuário comum, detectar um Mini App malicioso é muito mais difícil do que identificar uma URL externa suspeita.
Os golpistas lançaram uma isca de phishing com uma oferta de NFT falsa de Khabib Nurmagomedov em russo e inglês simultaneamente. No entanto, no texto em russo, eles esqueceram de remover uma pergunta da IA que gerou o texto: “Você precisa de opções mais ousadas, formais ou bem-humoradas?”, o que mostra que o trabalho foi feito às pressas e não foi revisado
Por fim, o golpe clássico vote no meu amigo utilizando aplicativos de mensagens evoluiu em 2025. Ele solicitava que as pessoas votassem no “melhor dentista da cidade” ou no “principal líder operacional”, mas, infelizmente, isso era apenas uma isca para a invasão de contas.
Outro método inteligente para sequestrar contas do WhatsApp foi descoberto na China, em que as páginas de phishing eram uma imitação perfeita da interface real do WhatsApp. As vítimas foram informadas de que, devido a alguma suposta “atividade ilegal”, elas precisavam passar por uma “verificação adicional”, o que resultou no roubo das suas contas, como você já deve ter adivinhado.
As vítimas foram redirecionadas para um formulário em que tinham que informar seu número de telefone, e, em seguida, inserir um código de autorização
Personificação de serviços governamentais
O phishing que imita mensagens e portais do governo é um “clássico do gênero”, mas em 2025, os golpistas adicionaram alguns elementos novos.
Na Rússia, os ataques de vishing contra usuários de serviços governamentais ganharam força. As vítimas receberam e-mails alegando que um login não autorizado havia sido feito nas suas contas, e por isso deveriam ligar para um número específico e fazer uma “verificação de segurança”. Para parecer legítimo, os e-mails continham informações técnicas falsas: endereços IP, modelo dos dispositivos e a data e hora do suposto login. Os golpistas também enviaram notificações falsas de aprovação de empréstimos: caso o destinatário não tivesse solicitado um empréstimo (e não tinha), ele deveria ligar para uma equipe de suporte falsa. Uma vez que a vítima em pânico falasse com um “operador”, a engenharia social se encarregava do resto do trabalho.
No Brasil, invasores criaram portais governamentais falsos com o objetivo de coletar números de contribuintes (CPF). Como esse número é a identificação principal para acessar serviços estaduais, bancos de dados nacionais e documentos pessoais, um CPF sequestrado viabiliza o roubo de identidade.
Este portal fraudulento do governo brasileiro surpreende pela alta qualidade
Na Noruega, os golpistas visavam pessoas que desejavam renovar a carteira de motorista. Um site que imita a Administração de Estradas Públicas da Noruega coletou uma quantidade enorme de dados pessoais: desde números de placas, nomes completos, endereços e números de telefone até os números de identificação pessoal exclusivos atribuídos aos residentes. A cereja do bolo foi solicitar que os motoristas pagassem uma “taxa de substituição de licença” de 1.200 NOK (mais de US$ 125). Os golpistas colocaram as mãos em dados pessoais, informações de cartões de crédito e dinheiro. Um verdadeiro golpe triplo!
De um modo geral, motoristas são um alvo atraente: está claro que eles têm dinheiro e um carro, e temem perdê-lo. Golpistas sediados no Reino Unido tiraram vantagem desse fato ao solicitar que motoristas pagassem com urgência um imposto em atraso relativo ao veículo deles para evitar alguma “ação de execução” não especificada. Esta mensagem urgente de “aja agora!” é uma estratégia clássica de phishing para que a vítima não perceba que uma URL é suspeita ou que sua formatação é mal feita.
Golpistas pressionaram os britânicos a pagar impostos supostamente atrasados sobre veículos “com urgência” para evitar que algo ruim acontecesse.
Podemos usar sua identidade, por favor?
Em 2025, observamos um aumento nos ataques de phishing envolvendo verificações de Conheça seu cliente (KYC). Para reforçar a segurança, muitos serviços agora verificam os usuários por meio de biometria e documentos oficiais com foto. Os golpistas aprenderam a coletar esses dados ao falsificar as páginas de serviços populares que implementam essas verificações.
Nesta página fraudulenta do Vivid Money, os golpistas realizaram a coleta sistemática de informações incrivelmente detalhadas sobre as vítimas
O que diferencia esses ataques é que, além das informações pessoais padrão, há a exigência de fotos de documentos de identidade ou do rosto da vítima, às vezes de vários ângulos. Esse tipo de perfil completo pode ser vendido em marketplaces da dark Web ou usado para fins de roubo de identidade. Falamos mais sobre esse processo na nossa postagem O que acontece com os dados roubados por meio de phishing?
Golpistas de IA
Naturalmente, os fraudadores não iriam deixar de aproveitar a disseminação da inteligência artificial. O ChatGPT tornou-se uma grande isca: fraudadores criaram páginas falsas de checkout de assinatura do ChatGPT Plus e ofereceram “prompts exclusivos” com a garantia de que o usuário iria viralizar nas mídias sociais.
Este é um clone quase perfeito em pixels da página de checkout original da OpenAI
O golpe “ganhar dinheiro com IA” foi particularmente cínico. Os golpistas ofereciam renda passiva advinda de apostas supostamente feitas pelo ChatGPT: o bot faria todo o trabalho difícil enquanto o usuário apenas observaria o dinheiro cair na conta. Parece um sonho, certo? Mas para “agarrar” esta oportunidade, era necessário agir rápido. O preço especial para perder dinheiro era válido por apenas 15 minutos a partir do momento em que a página era acessada, fazendo com que as vítimas não tivessem tempo para pensar duas vezes.
Você tem exatamente 15 minutos para perder € 14,99! Depois disso, você perde € 39,99
Em geral, os golpistas estão adotando a IA de forma agressiva. Eles estão aproveitando deepfakes, automatizando o design de sites de alta qualidade e gerando uma cópia refinada para o envio massivo de e-mails. Até mesmo chamadas ao vivo com as vítimas estão se tornando componentes de golpes mais complexos. Esse fato foi detalhado na nossa postagem Como phishers e golpistas usam a IA.
Armadilhas disfarçadas de vagas de emprego
Quem está em busca de trabalho é o principal alvo de pessoas mal-intencionadas. Ao divulgar vagas remotas com altos salários em grandes empresas, os phishers coletavam os dados pessoais dos candidatos e às vezes até solicitavam o pagamento de pequenas “taxas de processamento de documentos” ou “comissões”.
“Ganhe US$ 1.000 no primeiro dia” neste trabalho remoto na Amazon. Até parece!
Em configurações mais sofisticadas, os sites de phishing de “agências de emprego” solicitavam o número de telefone vinculado à conta do Telegram do usuário durante o registro. Para concluir a “inscrição”, a vítima precisava inserir um “código de confirmação”, que na verdade era um código de autorização do Telegram. Depois de inseri-lo, o site solicitava mais informações relativas ao perfil do usuário, o que claramente era apenas uma distração para impedir que ele percebesse a nova notificação de login no seu telefone. Para “verificar o usuário”, a vítima era instruída a esperar 24 horas, dando aos golpistas, que já tinham meio caminho andado, tempo suficiente para sequestrar a conta do Telegram para sempre.
A empolgação é uma mentira (mas muito convincente)
Como de costume, os golpistas foram rápidos em se inteirar de todas as manchetes que relatavam tendências em 2025, lançando campanhas de e-mail a uma velocidade vertiginosa.
No segundo em que o iPhone 17 Pro chegou ao mercado, ele se tornou o prêmio oferecido em inúmeras pesquisas falsas. Depois de “ganhar”, os usuários só precisavam fornecer suas informações de contato e pagar pelo envio. Depois que esses dados bancários eram inseridos, o “vencedor” corria o risco de perder não apenas o valor do envio, mas cada centavo da sua conta.
Aproveitando a onda do Ozempic, os golpistas inundaram as caixas de entrada das pessoas com ofertas de versões falsificadas do medicamento ou de “alternativas” suspeitas das quais os farmacêuticos reais nunca tinham ouvido falar.
E durante a turnê mundial da banda de K-pop BLACKPINK, os spammers fizeram publicidade das “malas scooters iguais às que a banda usa”.
Até o casamento de Jeff Bezos no verão de 2025 foi utilizado na aplicação de golpes “nigerianos” por e-mail. Os usuários receberam supostas mensagens do próprio Bezos ou da sua ex-esposa, MacKenzie Scott. Os e-mails prometiam grandes somas de dinheiro em nome de instituições de caridade ou como “compensação” da Amazon.
Como se proteger
Como você pode ver, os golpistas não têm limites quando se trata de inventar novas maneiras de roubar o seu dinheiro e dados pessoais, ou até mesmo toda a sua identidade. Estes são apenas alguns dos exemplos mais loucos de 2025. Você pode ler uma análise completa do cenário de ameaças de phishing e spam na Securelist. Enquanto isso, aqui estão algumas dicas para evitar que você se torne uma vítima. Compartilhe-as com seus amigos e familiares, especialmente crianças, adolescentes e idosos, pois esses grupos costumam ser os principais alvos dos golpistas.
Verifique a URL antes de inserir qualquer informação. Mesmo que os pixels da página pareçam perfeitos, a barra de endereço pode revelar o golpe.
Não clique em links de mensagens suspeitas, mesmo se forem enviados por alguém que você conheça, pois a conta deles pode facilmente ter sido invadida.
Nunca compartilhe códigos de verificação com ninguém. Eles são as chaves mestras da sua vida digital.
Ative a autenticação de dois fatores sempre que puder. Isso representa um obstáculo extra essencial para os hackers.
Instale uma proteção robustaem todos os seus dispositivos. O Kaspersky Premium bloqueia automaticamente sites de phishing, anexos maliciosos e e-mails de spam antes mesmo de você ter a chance de acessá-los. Além disso, nosso aplicativo Kaspersky for Android tem um sistema antiphishing de três camadas que consegue detectar e neutralizar links maliciosos em qualquer mensagem de qualquer aplicativo. Leia mais sobre isso na nossa postagem Uma nova camada de segurança antiphishing no Kaspersky for Android.
Entrar
