Você já tentou abrir um e-mail “criptografado” ou um documento urgente, apenas para perceber com horror que o anexo DOCX é, na verdade, um arquivo com a extensão .docx.exe? Ou talvez você tenha recebido um e-mail supostamente com uma fatura, contrato ou memorando interno anexado, mas o arquivo se revelou algo totalmente diferente do que alegava ser? Em caso afirmativo, você provavelmente foi alvo de uma tentativa de infecção por malware.

Os cibercriminosos costumam disfarçar arquivos maliciosos como documentos e arquivos comprimidos inofensivos, apostando em destinatários que clicam sem verificar a extensão. Os especialistas da Kaspersky analisaram os formatos de arquivo mais usados em campanhas de e-mail maliciosas para revelar o que realmente se esconde por trás dessas extensões e como os invasores as usam como arma em suas campanhas.

Nota importante: as extensões de que falaremos aqui são usadas no dia a dia em arquivos completamente legítimos. Por exemplo, os executáveis do Windows normalmente terminam em .exe. No entanto, vamos nos concentrar nos cenários específicos em que os invasores disfarçam ou falsificam a extensão de um arquivo para fazê-lo passar por um tipo de arquivo totalmente diferente.

Quais extensões são mais comumente encontradas em malwares?

Nossos especialistas analisaram campanhas de e-mail maliciosas desde o início de 2026 para identificar as 15 extensões de arquivo perigosas mais comuns.

.exe

.js

.html

.dll

.bat

.vbs

.xls

.pdf

.jse

.au3

.docx

.htm

.wsf

.scr

.lnk

<div class=”wp-caption aligncenter”><p class=”wp-caption-text”>As 15 principais extensões de arquivo usadas em investidas com e-mails maliciosos</p></div>

Vamos dar uma olhada no que os arquivos com essas extensões realmente fazem nos bastidores.

Arquivos executáveis

Um arquivo executável é um programa de computador compilado que está pronto para ser executado. Uma vez iniciado, um executável malicioso pode baixar cargas adicionais, alterar configurações do sistema, roubar dados do usuário, conectar seu dispositivo a servidores externos controlados por invasores e muito mais. Estas são as extensões de arquivos executáveis mais comuns encontradas em campanhas de e-mail maliciosas:

• .exe
• .dll
• .com
• .scr

.exe

A extensão executável clássica do Windows. Ele é usado por todos os programas que você usa diariamente, desde navegadores da Web e jogos até suítes de escritório e instaladores de software.

A propósito, os invasores geralmente usam extensões duplas para disfarçar o malware EXE: invoice.docx.exe, report.pdf.exe ou até mesmo photo.jpg.exe. Eles aproveitam uma configuração padrão do Windows: ocultar extensões para tipos de arquivo conhecidos. Como essa configuração vem ativada por padrão, os usuários veem apenas a primeira parte do nome do arquivo, invoice.docx, report.pdf ou photo.jpg, e supõem que é apenas um documento ou imagem normal. Mas assim que você abre esse arquivo-armadilha, o malware é acionado.

.dll

Outra extensão comum usada indevidamente em campanhas maliciosas é .dll (biblioteca de vínculo dinâmico). Essas bibliotecas contêm funções que os programas do Windows frequentemente requerem durante a execução, como para imprimir um documento. Essa arquitetura modular evita o código redundante, permitindo que vários aplicativos chamem exatamente a mesma biblioteca para tarefas específicas. No entanto, se um invasor substituir uma biblioteca legítima por uma infectada, a execução de qualquer programa normal que a chame pode acionar um código malicioso.

.com

Embora os arquivos com a extensão .com não tenham nada a ver com o domínio da Web de mesmo nome, os cibercriminosos provavelmente esperam que as vítimas confundam esses arquivos com links em um formato incomum. Na realidade, é um formato executável herdado do Windows.

Embora as versões modernas do Windows não dependam mais desse tipo de arquivo, o sistema operacional ainda pode executá-lo, o que torna a abertura de um desses uma péssima ideia.

.scr

Os arquivos SCR são protetores de tela, as animações de tela do Windows exibidas quando o computador está ocioso, com padrões abstratos, o icônico logotipo saltitante ou qualquer outra coisa. Apesar de sua reputação inofensiva, os protetores de tela são essencialmente executáveis, assim como os arquivos EXE: uma vez abertos, eles podem instalar componentes extras ou alterar as configurações do sistema da mesma forma. Em campanhas maliciosas, esses arquivos rotineiramente se disfarçam de imagens, capturas de tela ou documentos.

Scripts

Scripts são arquivos de texto que contêm uma sequência de comandos que um computador executa automaticamente, na ordem definida. Eles podem baixar arquivos, instalar e iniciar programas, modificar configurações de segurança e muito mais. Os invasores de e-mail recorrem aos seguintes tipos de script com mais frequência:

• .js e .jse
• .bat
• .cmd
• .vbs
• .wsf
• .vbe
• .au3

.js e .jse

As extensões .js e .jse são usadas por arquivos JavaScript. A maioria dos usuários associa o JavaScript estritamente a sites e não percebe que esses arquivos podem ser executados localmente em seus computadores como programas independentes.

Recentemente, escrevemos sobre o CrystalX RAT, um Cavalo de Troia de acesso remoto que registra as teclas digitadas, rouba o conteúdo da área de transferência e injeta componentes maliciosos nos navegadores da Web após a instalação. Seus scripts JS monitoraram endereços de carteira de criptomoedas e os trocaram silenciosamente com os do próprio invasor para sequestrar transações em tempo real.

.cmd e .bat

Os arquivos BAT e CMD são projetados para automatizar tarefas no Windows e podem executar praticamente qualquer comando no sistema operacional. Iniciar um arquivo como esse pode infectar seu computador com malware.

.vbs

Arquivos de Visual Basic Script com a extensão .vbs são os favoritos de longa data entre os cibercriminosos. Os invasores frequentemente usam extensões duplas para disfarçar arquivos .vbs como documentos de texto simples, como faturas, guias de instalação de aplicativos ou e-mails. Por exemplo, no início dos anos 2000, o icônico worm ILOVEYOU se espalhou por meio de um script VBS, infectando milhões de computadores em todo o mundo. As vítimas receberam um e-mail com o assunto “ILOVEYOU”, mas em vez de uma doce confissão, o anexo continha um script malicioso. No auge, esse worm “romântico” infectou até 10% de todos os computadores conectados à Internet.

Arquivos da Web

Esta categoria inclui principalmente arquivos .html, .htm, .hta e .svg. Muitas vezes, são páginas de phishing disfarçadas, projetadas para imitar formulários de login para e-mail, serviços em nuvem, aplicativos bancários e outras plataformas. Naturalmente, quaisquer credenciais inseridas nessas páginas falsas são enviadas diretamente aos invasores que buscam acessar suas contas e seu dinheiro. Os arquivos da Web também podem acionar scripts maliciosos e baixar cargas úteis adicionais em seu sistema.

Arquivos comprimidos

Os cibercriminosos normalmente empacotam arquivos maliciosos dentro de arquivos comprimidos (mais comumente com as extensões .zip, .rar e .7z). Esses arquivos comprimidos geralmente são protegidos por senha ou criptografados para impedir a verificação de conteúdo. Além disso, os invasores às vezes criam arquivos comprimidos intencionalmente corrompidos com estruturas de dados danificadas: os filtros de segurança básicos geralmente não conseguem lidar com arquivos corrompidos e deixam de verificá-los por completo, enquanto os gerenciadores de arquivos comprimidos podem reparar e descompactar automaticamente o conteúdo mesmo assim.

É por isso que recomendamos o uso de soluções de segurança avançadas que podem detectar e-mails de phishing e impedir que você execute arquivos perigosos ocultos dentro de arquivos comprimidos.

Arquivos PDF (.pdf)

Para muitos, o PDF parece um formato de arquivo completamente inofensivo, afinal, o que poderia dar errado com passagens aéreas, documentos e apresentações de slides? Mas além do texto e das imagens estáticas, os PDFs podem hospedar links clicáveis, formulários e até scripts.

O código malicioso em um PDF geralmente é escondido atrás de elementos visuais ou incorporado como texto oculto. Além disso, o risco não vem apenas do arquivo em si, mas também do software usado para visualizá-lo: por exemplo, invasores passaram meses explorando uma vulnerabilidade no Adobe Acrobat que lhes permitia executar arquivos PDF maliciosos remotamente. Se você trabalha regularmente em documentos PDF, assegure-se de que o recurso JavaScript esteja desativado no Adobe Acrobat. Para fazer isso, vá para Preferências → JavaScript no menu.

A propósito, os usuários frequentes de agentes de IA e chatbots devem ter em mente que a IA frequentemente cai em injeções de prompt: comandos ocultos enterrados dentro de imagens, texto e páginas da Web que a IA interpreta como instruções legítimas e executa sem o seu conhecimento.

Atalhos LNK (.lnk)

Arquivos com a extensão .lnk são atalhos padrão do Windows que usamos todos os dias para acesso rápido a aplicativos e pastas. Por si só, os atalhos não contêm nenhum software, eles simplesmente informam ao Windows qual arquivo abrir ou qual comando executar.

No entanto, um invasor pode atribuir a um atalho qualquer ícone e qualquer nome que desejar, ocultando completamente seu destino real. Assim que a vítima clica no atalho, a cadeia de infecção é iniciada. O código malicioso costuma ser executado em silêncio em segundo plano, não deixando praticamente nenhuma pista visual de que algo deu errado.

Os cibercriminosos também gostam de ocultar arquivos LNK atrás de extensões duplas, apostando que os usuários não prestarão atenção suficiente para perceber que tipo de arquivo estão realmente abrindo. Veja um exemplo clássico:

O ideal é evitar clicar em arquivos LNK recebidos: ninguém em sã consciência tem um motivo para enviar um atalho na área de trabalho por e-mail.

A propósito, se você não atualiza o Windows há algum tempo, temos más notícias: o código malicioso pode ser executado automaticamente sem que você clique no LNK, basta abrir a pasta onde ele se encontra para acioná-lo. A Microsoft finalmente lançou um patch para essa vulnerabilidade explorada há muito tempo em dezembro de 2025. Portanto, não adie as atualizações do sistema, instale-as regularmente para corrigir as brechas de segurança que os invasores aproveitam.

Documentos do Microsoft Office

.xls e .xlsx

A extensão de arquivo .xls é usada por versões mais antigas do Microsoft Excel. Milhões de pessoas usam planilhas do Excel todos os dias, e muitas ainda usam softwares desatualizados, o que torna os arquivos XLS uma isca favorita para os cibercriminosos. Orçamentos, listas de funcionários, registros financeiros, relatórios urgentes e outras planilhas deixam de ser inofensivas no momento em que o usuário clica em Habilitar conteúdo, permitindo que o programa execute macros: scripts personalizados do Microsoft Office e comandos incorporados nos arquivos. Uma vez permitida, a macro maliciosa pode livremente baixar arquivos, iniciar programas, coletar dados do sistema e alterar configurações.

Ao contrário do XLS, o XLSX é o formato moderno do Excel, que não é compatível com macros incorporadas por padrão. Infelizmente, isso não garante segurança completa: a planilha ainda pode obter dados de fontes externas e conectar-se automaticamente a destinos da Web em segundo plano.

.docx

Embora os arquivos DOCX modernos não sejam compatíveis com macros por padrão, os invasores há muito descobriram outras maneiras de usar esses documentos para fins maliciosos. Normalmente, os arquivos DOCX maliciosos contêm links incorporados ou instruções que forçam o Word a entrar em contato com servidores externos e baixar cargas maliciosas. Em 2023, por exemplo, os pesquisadores descobriram uma vulnerabilidade do Microsoft Office que permitia que os invasores acionassem ferramentas internas do sistema Windows e baixassem malware diretamente da Web.

Para reduzir o risco ao trabalhar com aplicativos do Microsoft Office, recomendamos ativar o Modo de Exibição Protegido, bloquear conexões externas e desativar todas as macros sem notificação de execução.

O suporte a macros no Microsoft Office moderno

As macros são sequências de comandos que automatizam tarefas complexas e repetitivas no Excel, Outlook, Word e PowerPoint. Nas versões modernas do Microsoft Office, os documentos que contêm macros incorporadas são salvos em formatos de arquivo especializados com extensões como .xlsm, .xltm, .xlsb, .docm e .pptm. Embora o Microsoft Office inclua controles de segurança integrados, como bloquear arquivos baixados da Web e avisar você sobre macros potencialmente perigosas, se você não usar macros e não tiver um motivo específico para executá-las, trate os arquivos com essas extensões com cuidado.

Como verificar se um arquivo é seguro

• Use um pacote de segurança abrangente que verifica automaticamente arquivos em busca de malware, evita infecções, bloqueia visitas a sites suspeitos e remove completamente arquivos maliciosos dos seus dispositivos. Aproveite uma avaliação de 30 dias do Premium se você precisar urgentemente desinfectar seu computador ou verificar um arquivo quanto à presença de vírus.
• Não abra anexos de remetentes desconhecidos. A curiosidade pode custar muito caro, já que muitas linhagens de malware buscam especificamente dados de cartões de crédito e carteiras de criptomoedas. Deixe que o recurso Antivírus de E-mail, incluso em nossas soluções de segurança, faça o trabalho pesado: ele filtra automaticamente e-mails maliciosos ou suspeitos e protege você contra ataques de phishing.
• Examine os e-mails recebidos com cuidado: os cibercriminosos se tornaram hábeis em disfarçar mensagens maliciosas. Sempre verifique os endereços de e-mail comparando-os com os endereços oficiais e tenha em mente os sinais de phishing e spam. Os criminosos podem tentar assustar você com alegações de invasão de conta, atraí-lo para sites duvidosos com “ofertas imbatíveis” ou pedir que revise um documento de trabalho anexado ao e-mail. Qualquer tentativa de manipular suas emoções é um forte sinal de alerta de que alguém está tentando enganar você.
• Nunca abra arquivos com extensões duplas. É quase sempre uma armadilha.
• Se você encontrar um arquivo com uma extensão desconhecida, reserve um momento para pesquisar sobre ela na Internet. Lembre-se: uma foto ou um documento de texto simples nunca terá uma extensão .lnk ou .vbs.

Confira nossas outras postagens sobre segurança de e-mail e arquivos:

• Spam para iniciantes: o que é o spam e como acabar com ele
• O que fazer ao receber um e-mail de phishing
• Invasores exploram AppSheet para roubar dados e credenciais
• Como verificar códigos QR em e-mails
• Como converter arquivos com segurança

Identificamos uma nova campanha de phishing direcionada em que cibercriminosos tentaram atacar empresas de manufatura. O ataque envolveu uma abordagem em múltiplas etapas: antes de enviar o link de phishing diretamente, eles iniciaram uma conversa com a vítima por meio de e-mails a fim ganhar sua confiança. É provável que as conversas tenham sido geradas usando grandes modelos de linguagem. No momento desta postagem, o ataque ainda estava ocorrendo, por isso recomendamos atenção!

O esquema de phishing

Os invasores tentam se passar por clientes em potencial. Os e-mails são enviados por endereços registrados em serviços de e-mail gratuitos. Esses serviços não têm uma má reputação conhecida e geralmente são usados para o envio de e-mails corporativos, especialmente por pequenas empresas. Seja qual for o idioma nativo da vítima (vimos ataques direcionados a empresas na Rússia, República Tcheca, Malásia e Egito), os e-mails dos atacantes são sempre escritos em inglês.

No primeiro contato, eles fazem perguntas sobre os produtos oferecidos, citando nomes reais de produtos. Isso indica uma preparação minuciosa para os ataques. Eles não enviam e-mails idênticos para empresas de manufatura com perfis semelhantes, mas pesquisam cuidadosamente informações públicas disponíveis on-line sobre cada vítima. Se alguém responder ao primeiro e-mail, os invasores continuam a conversa. Às vezes, antes de ir direto ao seu objetivo, que é extrair credenciais de contas de e-mail corporativas, eles trocam várias mensagens nas quais, como distração, esclarecem certos detalhes ou fazem perguntas adicionais. Mas, na maior parte das vezes, eles enviam o link de phishing já no segundo e-mail.

Os invasores enviam especificações detalhadas de um produto no qual afirmam estar interessados, perguntam se o produto pode ser gravado de acordo com um esboço ou usam qualquer outro pretexto para tentar fazer com que a vítima abra o arquivo enviado.

Site de phishing

Na realidade, não há nenhum arquivo. O site de phishing que é aberto quando a vítima clica no link imita um serviço na nuvem popular para editar documentos em PDF. O botão “Baixar” leva a um formulário de login no qual a vítima é solicitada a inserir seu endereço de e-mail corporativo e sua senha para acessar o arquivo confidencial. Obviamente, isso é “por motivos de segurança”. Se um funcionário da empresa alvo não parar para pensar por que inseriria suas credenciais de login corporativas em um site completamente sem relação com a empresa, um site que claramente não tem como verificar sua autenticidade, seu endereço de e-mail e a senha associada serão enviados para o servidor dos invasores.

Como se manter em segurança?

Os ataques de phishing modernos estão se tornando cada vez mais sofisticados e, graças ao uso de ferramentas de IA pelos atacantes, também mais convincentes. É por isso que, em primeiro lugar, recomendamos aumentar a conscientização sobre segurança dos funcionários sempre que possível. E para garantir que eles tenham que colocar esse conhecimento em prática o mínimo possível, recomenda-se implementar uma solução de segurança no nível do gateway de e-mail. O Kaspersky Secure Mail Gateway detecta esse ataque de phishing antes mesmo de os atacantes passarem para a tentativa de phishing propriamente dita.

Não é segredo que os cibercriminosos vêm usando grandes modelos de linguagem para otimizar suas operações. Como resultado, as inúmeras campanhas de phishing e malware direcionadas às organizações tornaram-se muito mais sofisticadas. Esses e-mails agora contêm menos erros evidentes, e o tom deles se aproxima muito de uma correspondência comercial legítima. No entanto, os métodos usados para distribuir essas campanhas sempre apresentam um indício claro: uma tentativa de roubar credenciais ou executar código malicioso. Os ataques de comprometimento de e-mail comercial (BEC), no entanto, representam um desafio ainda maior.

Os ataques BEC normalmente dependem inteiramente da engenharia social, induzindo um funcionário legítimo a executar as ações solicitadas pelos invasores. Esses ataques também se tornaram muito mais sofisticados desde o surgimento dos LLMs. Se as táticas forem bem-sucedidas, por exemplo, se eles conseguirem convencer um funcionário a transferir fundos para uma conta de terceiros em vez da conta de um prestador de serviços, a empresa poderá perder muito dinheiro em questão de instantes. Foi por isso que desenvolvemos uma tecnologia especializada para detectar e-mails de BEC gerados com IA.

Como funciona a tecnologia de detecção de BEC gerado com IA

Sem entrar em muitos detalhes técnicos, veja como essa nova tecnologia funciona. Como você deve saber, os grandes modelos de linguagem não produzem textos da mesma forma que os seres humanos. Em vez disso, eles preveem as palavras que têm maior probabilidade de se adequar à tarefa descrita no prompt. Além disso, os cibercriminosos tendem a seguir o caminho mais fácil: em vez de reinventar a roda, recorrem aos modelos de IA mais amplamente disponíveis.

Como o objetivo dos invasores é relativamente claro, podemos extrair do texto frases-chave específicas de ataques de BEC. Além disso, aprendemos a identificar quando um texto foi gerado por uma máquina. Esses indicadores são um dos pilares da nossa tecnologia de detecção. Como resultado, nossa solução de segurança agora consegue identificar e bloquear tentativas de ataques BEC logo no estágio inicial, antes mesmo que o invasor tenha a oportunidade de enganar um funcionário. Atualmente, a tecnologia detecta e-mails de BEC gerados com IA em inglês, russo, alemão, francês, italiano, espanhol, português e turco.

Quais de nossas soluções apresentam a tecnologia de detecção de BEC gerada com IA?

Nosso portfólio de soluções de segurança corporativa inclui o Kaspersky Security for Mail Server, que incorpora o Kaspersky Secure Mail Gateway. É no gateway seguro de e-mail que nossa tecnologia de detecção de e-mails BEC gerados por IA está implementada. Mais especificamente, o recurso está disponível na licença KSMS Plus após a recente atualização para o KSMG 3.1. Visite a página oficial do Kaspersky Secure Mail Server para saber mais sobre nossas soluções de segurança de e-mail e os recursos adicionados na atualização mais recente.

Já escrevemos várias vezes sobre como códigos QR são usados em esquemas de phishing. Nosso gateway seguro de e-mail até inclui tecnologia para ler esses códigos (não apenas em e-mails, mas também em anexos) e verificar os links incorporados. Ainda assim, os criminosos não desistem de enviar códigos QR às suas vítimas. Recentemente, temos observado um aumento no uso de arte ASCII para essa finalidade. Trata-se de imagens criadas a partir de caracteres de texto. Isso é particularmente irônico, considerando que, no passado, os phishers tentavam escapar da verificação de links escondendo-os em imagens e, agora, estão tentando burlar a análise de imagens voltando ao uso de texto. Mas com algumas adaptações.

A arte esquecida do ASCII e como os criminosos a utilizam

Hoje pode parecer difícil acreditar, mas houve uma época em que os computadores não eram capazes de exibir imagens gráficas. Por isso, as primeiras imagens digitais eram construídas com caracteres de texto. Após a adoção do padrão ASCII (American Standard Code for Information Interchange) em 1963, seus caracteres passaram a ser amplamente utilizados para criar esse tipo de arte, garantindo que as imagens fossem exibidas da mesma forma em diferentes computadores. Com o passar do tempo, outros símbolos de texto, como os presentes no conjunto Unicode expandido, também passaram a ser utilizados na criação dessas imagens. Ainda assim, o termo “arte ASCII” continuou sendo usado para descrever esse estilo artístico de forma geral. Houve artistas que se dedicaram seriamente a essa técnica. Os primeiros sites da Internet utilizavam arte ASCII em seu design e até mesmo os primeiros conteúdos pornográficos digitais eram representados exclusivamente por caracteres de texto.

Com a evolução das tecnologias gráficas, a arte ASCII perdeu popularidade. Ela voltou a ganhar destaque nos anos 2000, durante o auge do spam por e-mail. Naquela época, os spammers utilizavam a técnica principalmente para disfarçar palavras associadas a spam que poderiam acionar filtros de e-mail. Além disso, mensagens compostas por texto consumiam menos recursos dos servidores do que imagens. Outro fator era que muitos usuários pagavam pelo volume de tráfego de Internet utilizado e, por isso, frequentemente desativavam o carregamento de imagens em seus clientes de e-mail. Naturalmente, naquela época, ampliamos nossas soluções de segurança para e-mail com tecnologias específicas para detectar e bloquear arte ASCII maliciosa.

Agora, a técnica de ASCII foi redescoberta, desta vez por criminosos que buscam contornar sistemas capazes de reconhecer códigos QR presentes em imagens.

Como é um ataque de phishing com arte ASCII?

Veja um exemplo recente. O pretexto em si é bem comum: alguém supostamente enviou à vítima um documento confidencial via DocuSign, mas, para abri-lo, o destinatário precisa escanear o código QR no e-mail para acessar um site e inserir suas credenciais corporativas.

À primeira vista, o código parece estranho. Isso acontece porque ele é desenhado utilizando caracteres pseudo-gráficos e até mesmo os espaços entre as linhas ficam visíveis. Na realidade, não há nenhuma imagem propriamente dita no código da mensagem de e-mail. Nos bastidores, o código QR se parece com algo assim:

Como resultado, os mecanismos de verificação de links não conseguem identificar o endereço, e as ferramentas de análise de imagens não conseguem detectar a URL oculta no código QR. Com isso, os criminosos acreditam que o e-mail de phishing chegará à vítima sem problemas. Spoiler: não esquecemos como bloquear arte ASCII.

É normal receber um código QR por e-mail?

Em teoria, existem situações legítimas em que o uso de um código QR faz sentido. Ele é uma forma prática de compartilhar contatos, links para aplicativos móveis, localizações em mapas ou informações de configuração. Em outras palavras, funciona bem quando o objetivo é transferir informações diretamente para um dispositivo móvel.

No entanto, se alguém pedir que você utilize um código QR para inserir credenciais corporativas em um smartphone, isso deve ser considerado um forte sinal de alerta. E quando esse código QR é criado com arte ASCII, trata-se claramente de uma tentativa de phishing ou de direcionamento para uma URL maliciosa. Esse tipo de técnica tem apenas uma finalidade: tentar contornar mecanismos de segurança.

Como se proteger?

Para impedir que e-mails de phishing, contendo ou não arte ASCII, cheguem às caixas de entrada dos colaboradores, recomendamos a adoção de um gateway de e-mail seguro antiphishing. Como camada adicional de defesa, é importante instalar soluções de segurança em todos os dispositivos utilizados para acessar a Internet.

Também recomendamos a realização periódica de treinamentos de conscientização em segurança, para que os colaboradores conheçam as táticas de phishing mais recentes. Vale destacar, especificamente, que a presença de arte ASCII em e-mails modernos pode ser um indicativo importante de uma tentativa de ataque de phishing.

As campanhas de phishing tornaram-se significativamente mais sofisticadas e convincentes nos últimos anos. Os endereços dos remetentes agora são quase idênticos aos legítimos. Os e-mails são redigidos de forma impecável e os usuários são chamados pelo nome. Mas o que fazer quando um e-mail suspeito vem de um endereço claramente legítimo?

Recentemente, os phishers passaram a explorar a plataforma Google AppSheet para configurar disparos de e-mail originados de um endereço oficial vinculado ao Google. Após um ataque bem-sucedido, eles acabam obtendo acesso às contas das vítimas e a dados confidenciais.

Neste artigo, explicamos como esse novo esquema de roubo de dados funciona e como se proteger desses ataques de phishing cada vez mais difíceis de identificar.

O Google está oferecendo um emprego a você. Ou a Coca-Cola. Ou talvez a Volvo. Mas será mesmo?

O AppSheet é um serviço do Google que permite criar aplicativos sem nenhuma experiência em programação. Ele costuma ser utilizado por pequenas empresas para automatizar fluxos de trabalho rotineiros. Infelizmente, é justamente essa simplicidade que torna o AppSheet tão atraente para os cibercriminosos. Hoje em dia, basta investir alguns dólares para montar rapidamente um aplicativo usando comandos e blocos prontos para executar um golpe de phishing.

O roteiro dos ataques de phishing por meio do AppSheet é bastante convencional. A vítima recebe um e-mail supostamente enviado por uma grande empresa, e essas mensagens frequentemente começam chamando o destinatário pelo nome. Tudo indica que os invasores utilizam dados vazados para associar nomes a endereços de e-mail específicos.

Em seguida, eles exploram as emoções da vítima, usando a estratégia da ameaça ou da recompensa. Eles podem provocar pânico com avisos urgentes que exigem ação imediata, como “Sua conta será desativada em breve” ou “Atividade suspeita detectada”. Ou podem atrair a vítima com uma oferta irresistível, como a promessa de um selo de verificação ou um convite para uma entrevista em uma grande empresa de tecnologia. Esses falsos e-mails de recrutamento são projetados para gerar entusiasmo imediato. Eles fazem parecer que a candidatura da pessoa foi priorizada e recebeu uma excelente avaliação, sugerindo que uma proposta de emprego pode chegar já no dia seguinte.

Para a maioria das pessoas, essas mensagens não despertam qualquer suspeita. O e-mail passa diretamente pela pasta de spam e o campo De exibe exatamente o nome da empresa que o destinatário esperaria ver. Infelizmente, nada disso significa que o e-mail seja autêntico: os invasores podem definir qualquer nome de exibição que desejarem. E, convenhamos, poucas pessoas realmente param para verificar cuidadosamente o endereço de e-mail do remetente.

Nas campanhas de phishing baseadas no AppSheet, o remetente é sempre o mesmo: noreply{@}appsheet.com. Mas aqui está o detalhe mais importante: esse endereço é 100% legítimo. Como está diretamente vinculado à infraestrutura do Google, há uma grande chance de que filtros antispam tradicionais permitam a passagem desses e-mails sem qualquer questionamento.

Naturalmente, para garantir aquela entrevista tão desejada ou resolver um problema na conta, a vítima clica no link e acaba entregando voluntariamente toda a sua identidade digital em um site falso: nome completo, endereço, telefone, entre outros dados. A partir daí, os invasores podem vender as informações coletadas na dark web ou utilizá-las em ataques direcionados posteriores. Para piorar, a vítima é redirecionada para uma página falsa de login, permitindo que os invasores roubem suas contas.

Veja de forma detalhada como uma vítima pode receber um e-mail falso do Google Careers e acabar com sua conta totalmente comprometida:

Campanhas semelhantes também são realizadas em nome de outras grandes marcas de tecnologia. Usuários que entregam os dados de suas contas Apple correm o risco não apenas de perder a conta, mas também o controle de todos os seus dispositivos Apple. Os invasores podem pressionar a vítima a sair de seu Apple ID pessoal e entrar em uma suposta “conta corporativa” para fins de verificação, que na verdade é uma conta Apple controlada por eles. No momento em que a vítima faz isso, os criminosos assumem o controle remoto completo do dispositivo utilizado, frequentemente ativando o Modo Perdido para bloquear o acesso e manter o aparelho como refém em troca de um resgate.

Para piorar, os invasores nem sempre incluem um link malicioso no e-mail inicial. Em vez disso, apostam em uma abordagem de longo prazo, envolvendo a vítima em uma conversa ao pedir que responda à mensagem para confirmar seu interesse. Essa técnica cria a ilusão de que a pessoa está interagindo com um recrutador real. E esse tipo de golpe não se limita ao Vale do Silício. Os invasores frequentemente se passam por marcas mundialmente conhecidas, como a Volvo ou a Coca-Cola. É claro que é muito improvável que os invasores queiram acessar uma conta da Coca-Cola, mesmo supondo que o usuário tenha uma. O objetivo mais provável é roubar informações confidenciais ou convencer a vítima a fazer login em uma página de phishing usando suas credenciais do Google, Apple, Facebook etc.

Você quer se tornar Meta Verified?

É claro que os “empregos dos sonhos” não são a única isca utilizada. Foram observadas campanhas nas quais o “Suporte do Facebook” informa ao usuário que ele foi considerado elegível para o prestigioso selo Meta Verified, o famoso selo azul normalmente associado a celebridades de destaque e grandes marcas globais. Para obter o cobiçado selo azul, a vítima é direcionada para uma página de phishing onde deve preencher um formulário de identidade antes de entregar o prêmio principal: seu nome de usuário e senha do Facebook. E tudo isso, naturalmente, em nome da segurança!

Esses sites falsos são criados em diversos idiomas e adaptados a usuários de diferentes países. Abaixo está a versão em holandês.

Em outras campanhas, os invasores utilizam o Google AppSheet para explorar o medo e a urgência, alegando que o usuário violou a política de propriedade intelectual do Meta e ameaçando encerrar imediatamente sua conta do Facebook. Para recorrer da decisão, a vítima deve clicar em um link para… um site de phishing, fornecer seus dados pessoais e, claro, informar seu nome de usuário e senha do Facebook.

Como identificar ataques de phishing e proteger suas contas

Infelizmente, os ataques de phishing estão cada vez mais sofisticados, e os invasores exploram regularmente a reputação de serviços e domínios legítimos. Veja como evitar cair nessas armadilhas e proteger seus dados:

• Lembre-se: nem todos os e-mails de phishing vão parar na pasta de spam. Os filtros antispam padrão dos clientes de e-mail frequentemente falham em detectar ataques avançados, e o caso do AppSheet é um excelente exemplo disso. Para evitar cair nesse tipo de golpe, use o Kaspersky Premium em todos os seus dispositivos. Ele intercepta e-mails de phishing e bloqueia instantaneamente links para sites falsos, mesmo quando o criminoso está se escondendo atrás de um domínio totalmente legítimo. Além disso, a versão para Android consegue detectar links maliciosos e de phishing em mensagens de qualquer aplicativo.
• Verifique se há erros de digitação estranhos no texto do e-mail. Para evitar levantar suspeitas, os invasores frequentemente inserem espaços invisíveis ou substituem caracteres de forma sutil. Veja este exemplo encontrado em um dos e-mails analisados: Fac eb o ok  S u ppo r t em vez de Facebook Support.
• Antes de executar qualquer ação em um site, verifique cuidadosamente seu nome de domínio em relação ao endereço oficial. Os golpistas costumam criar endereços que parecem legítimos à primeira vista, mas revelam diferenças quando examinados com atenção. Instale Kaspersky Premium para garantir que você não acesse um site falso.
• Observe primeiro o endereço de email do remetente, e não apenas o nome de exibição. Se um e-mail afirmar ser do Google Careers, Apple HR ou Facebook Support, mas o endereço do remetente apontar para o AppSheet ou outro serviço sem relação com a empresa, nem vale a pena continuar lendo. Essa incompatibilidade entre o nome de exibição e o domínio do remetente é um forte indício de golpe. Compare os endereços de e-mail com aqueles divulgados nos sites oficiais das empresas.
• Verifique a assinatura do e-mail. Por exemplo, todos os e-mails enviados pelo AppSheet incluem uma observação informativa no rodapé. É muito mais provável receber uma notificação legítima do AppSheet de uma pequena empresa ou negócio local do que de uma gigante da tecnologia. Grandes corporações normalmente utilizam seus próprios domínios para envio de e-mails.
• Use um gerenciador de senhas. Mesmo que você acesse um site falso e tente inserir sua senha, um gerenciador de senhas confiável alertará sobre a incompatibilidade do domínio e se recusará a preencher automaticamente seu nome de usuário e senha.
• Não se esqueça da autenticação de dois fatores. Quando ela está ativada, apenas o nome de usuário e a senha não são suficientes para que os invasores acessem sua conta; eles também precisarão de um código temporário. Ainda assim, eles podem tentar enganá-lo para obter esse código, portanto, tenha atenção redobrada sempre que inserir códigos de autenticação de dois fatores.
• Sempre que possível, utilize chaves de acesso em vez de senhas. Essa tecnologia oferece excelente proteção contra phishing: mesmo que você visite um site malicioso e tente fazer login, a chave de acesso não funcionará em um domínio falso. Você pode armazenar e sincronizar chaves de acesso entre diferentes dispositivos no Kaspersky Password Manager. Leia nosso artigo sobre o assunto para saber mais sobre como as chaves de acesso funcionam.

Os ataques de phishing estão se tornando cada vez mais sofisticados. Veja também outros temas importantes relacionados a phishing:

• O que acontece com os dados roubados em ataques de phishing?
• Ataques browser-in-the-browser: da teoria à prática
• Phishing e spam: as campanhas mais ousadas de 2025
• Phishing em Mini Apps do Telegram: o que a papakha de Habib tem a ver com isso?
• Como phishers e golpistas usam IA

Uma variedade de criadores de aplicativos com tecnologia de IA promete dar vida às suas ideias com rapidez e facilidade. Infelizmente, sabemos exatamente quem está sempre à procura de novas ideias para dar vida, principalmente porque somos muito bons em identificar e bloquear as antigas. Estamos falando de phishers, é claro. Recentemente, descobrimos que eles adicionaram um novo truque ao seu arsenal: gerar sites usando o criador de aplicativos da Web com tecnologia IA Bubble. É muito provável que essa tática já esteja disponível em uma ou mais plataformas de phishing como serviço, o que praticamente garante que essas armadilhas começarão a aparecer em uma ampla variedade de ataques. Mas vamos detalhar em etapas.

Por que os phishers estão usando o Bubble?

Incluir um link direto para um site de phishing em um e-mail é um caminho sem volta para o fracasso. Há uma grande probabilidade de a mensagem nem chegar ao destino, pois os filtros de segurança provavelmente a bloquearão antes que o usuário a veja. Da mesma forma, o uso de redirecionamentos automatizados já está no radar das soluções de segurança modernas. E os QR codes? Embora fazer com que a vítima escaneie um código com o celular, em vez de clicar em um link, possa funcionar em teoria, os phishers inevitavelmente perdem tráfego nessa etapa: nem todo mundo está disposto a inserir credenciais corporativas em um dispositivo pessoal. É aqui que os serviços automatizados de geração de código socorrem os cibercriminosos.

O Bubble se posiciona como uma plataforma no-code para o desenvolvimento de aplicativos da Web e móveis. Essencialmente, um usuário descreve o que precisa em uma interface visual e a plataforma gera uma solução finalizada. Os phishers adotaram essa tecnologia para criar aplicativos da Web cujos endereços, depois, eles incorporam em seus e-mails de phishing. Embora a função real desses aplicativos se resuma ao mesmo antigo redirecionamento automatizado para um site malicioso, há algumas nuances específicas em jogo.

Primeiro, o aplicativo da Web resultante é hospedado diretamente nos servidores da plataforma. O URL pronto para uso em um e-mail de phishing se parece com https://%name%.bubble.io/. Do ponto de vista das soluções de segurança, parece ser um site legítimo e antigo.

Em segundo lugar, o código desse aplicativo da Web não se parece com um redirecionamento típico. Para ser honesto, é difícil dizer com o que ele se parece. O código gerado por essa plataforma no-code é uma enorme mistura de JavaScript e estruturas isoladas de Shadow DOM (Document Object Model). Mesmo para um especialista, é difícil entender o que está acontecendo à primeira vista; é preciso analisar o código a fundo para entender como tudo funciona e com qual objetivo. Os algoritmos automatizados de análise de código da Web têm ainda mais chances de falhar, frequentemente chegando ao veredicto de que é apenas um site funcional e útil.

O que são essas plataformas de phishing e qual é o objetivo?

Os phishers atuais raramente desenvolvem e implementam novos truques do zero. A maioria usa kits de phishing, essencialmente pacotes do tipo “faça você mesmo o seu esquema fraudulento”, ou até mesmo plataformas de phishing como serviço em larga escala.

Essas plataformas fornecem aos invasores um kit de ferramentas sofisticado (e altamente frustrante) que está em constante evolução para melhorar a entrega de e-mail e burlar as defesas antiphishing. Por exemplo, essas ferramentas permitem que os invasores, entre muitas outras coisas, façam o seguinte: interceptem cookies de sessão; realizem phishing pelo Google Tarefas (uma tática que abordamos em uma postagem anterior); executem ataques de intermediário (AiTM) para validar a autenticação de dois fatores (2FA) e burlá-la em tempo real; criem sites de phishing equipados com honeypots e geofencing para se esconder dos rastreadores de segurança; e usem assistentes de IA para gerar e-mails de phishing únicos. Para piorar a situação, a infraestrutura dessas plataformas geralmente é hospedada em serviços perfeitamente legítimos como AWS, tornando suas táticas ainda mais difíceis de detectar.

As mesmas plataformas são usadas para criar a página de destino final que coleta credenciais. Nesse caso específico, o aplicativo da Web hospedado no Bubble redireciona as vítimas para um site com uma verificação da Cloudflare que imita a janela de login da Microsoft.

Aparentemente, no universo paralelo dos invasores, o Skype ainda é uma ferramenta de comunicação viável, mas fora isso, o site é bastante convincente.

Como proteger a sua empresa contra ataques de phishing sofisticados

No cenário digital atual, os funcionários precisam entender que as credenciais corporativas devem ser inseridas apenas em serviços e sites que inegavelmente pertencem à empresa. Você pode conscientizar sua equipe sobre ameaças cibernéticas modernas usando a Kaspersky Automated Security Awareness Platform para treinamento on-line.

É claro que até o funcionário mais cauteloso pode ocasionalmente morder a isca. Recomendamos equipar todas as estações de trabalho conectadas à Internet com soluções de segurança robustas que simplesmente bloquearão qualquer tentativa de visitar um site malicioso. Por fim, para reduzir o número de e-mails perigosos que ocupam as caixas de entrada corporativas, sugerimos implementar um produto de segurança de gateway com tecnologias antiphishing avançadas.

Temos discutido repetidamente esquemas de phishing em que invasores exploram vários servidores legítimos para enviar e-mails. Caso consigam sequestrar algum servidor de SharePoint, eles o usarão; caso contrário, se limitarão a enviar notificações por meio de um serviço gratuito, como o GetShared. Contudo, o enorme ecossistema do Google é um dos alvos favoritos dos criminosos, e a bola da vez é o Google Tarefas. Como de costume, este truque tem como principal objetivo driblar os filtros de e-mail, explorando a boa reputação do intermediário.

Como é o phishing no Google Tarefas

O destinatário recebe uma notificação legítima de um endereço @google.com com a mensagem: “Você tem uma nova tarefa”. Basicamente, os invasores tentam fazer parecer que a empresa passou a usar o gerenciador de tarefas do Google e, por isso, a vítima precisa clicar imediatamente em um link para preencher um formulário de verificação.

Para impedir que o destinatário tenha tempo para pensar se isso é necessário, a tarefa geralmente inclui um prazo curto e é marcada com alta prioridade. Ao clicar no link dentro da tarefa, a vítima é direcionada para uma URL que leva a um formulário onde deve inserir suas credenciais corporativas para “confirmar seu status de funcionário”. Essas credenciais, obviamente, são o objetivo final do ataque de phishing.

Como proteger as credenciais de funcionários contra phishing

Naturalmente, os funcionários devem ser alertados sobre a existência desse esquema. Por exemplo, compartilhando um link para o nosso acervo de postagens sobre como identificar o phishing. Mas, na realidade, o problema não é com nenhum serviço específico, mas sim com a cultura geral de segurança cibernética dentro de uma empresa. Os processos de fluxo de trabalho precisam ser claramente definidos para que todos os funcionários entendam quais ferramentas são realmente usadas pela empresa. Recomenda-se manter um documento corporativo público com a lista dos serviços autorizados e as pessoas ou departamentos responsáveis por eles. Isso proporciona aos funcionários um meio de verificar se aquele convite, tarefa ou notificação é legítimo. Além disso, nunca é demais lembrar que as credenciais corporativas devem ser inseridas somente em recursos internos da empresa. Para automatizar o processo de treinamento e manter sua equipe atualizada sobre as ameaças cibernéticas modernas, você pode usar uma ferramenta dedicada, como a Kaspersky Automated Security Awareness Platform.

Além disso, recomendamos reduzir a chegada de e-mails potencialmente perigosos às caixas de entrada dos funcionários com uma solução de segurança de gateway de e-mail especializada. Também é vital equipar todas as estações de trabalho conectadas à Web com um software de segurança. Mesmo que um invasor consiga enganar um funcionário, o produto de segurança bloqueará a tentativa de visitar o site de phishing, evitando o vazamento das credenciais corporativas.

Todos os anos, golpistas inventam novas maneiras de enganar as pessoas, e 2025 não foi exceção. No ano passado, nosso sistema antiphishing bloqueou mais de 554 milhões de acessos a links de phishing, e nosso Antivírus de E-mail bloqueou quase 145 milhões de anexos maliciosos. Para completar, quase 45% de todos os e-mails no mundo acabaram sendo spam. Detalhamos abaixo os esquemas de phishing e spam mais impressionantes do ano passado. Caso queira se aprofundar no assunto, leia o relatório completo Spam e Phishing em 2025 no Securelist.

Phishing no entretenimento

Os amantes de música e os cinéfilos foram os principais alvos de golpistas em 2025. Pessoas mal-intencionadas criaram sites para a venda de ingressos falsos, além de versões falsificadas de serviços de streaming populares.

Nesses sites falsos, os usuários recebiam ingressos “gratuitos” para grandes shows. A pegadinha? Eles só tinham que pagar uma pequena “taxa de processamento” ou o “custo de envio”. Naturalmente, o que aconteceu foi que o dinheiro ganho com esforço dos usuários foi direto para o bolso dos golpistas.

No caso dos serviços de streaming, ocorreu o seguinte: os usuários receberam uma oferta tentadora para migrar suas listas de reprodução do Spotify para o YouTube inserindo suas credenciais do Spotify. Em outra ocasião, eles foram convidados a votar no seu artista favorito em uma enquete (uma oportunidade que a maioria dos fãs acha difícil deixar passar). Para adicionar uma camada de legitimidade, os golpistas citaram nomes como Google e Spotify. O formulário de phishing tinha como alvo várias plataformas ao mesmo tempo (Facebook, Instagram ou e-mails), e exigia que os usuários inserissem as credenciais das suas contas para votar.

No Brasil, os golpistas foram mais ousados: eles ofereceram aos usuários a chance de ganhar dinheiro apenas ouvindo e classificando músicas em um suposto serviço de um parceiro do Spotify. Durante o registro, os usuários tinham que fornecer o número do Pix (o sistema brasileiro de pagamento instantâneo) e, em seguida, fazer um “pagamento de verificação” único de R$ 19,90 (cerca de US$ 4) para “confirmar sua identidade”. Essa taxa representava, obviamente, uma fração dos “ganhos potenciais” prometidos. O formulário de pagamento parecia muito autêntico e solicitava dados pessoais adicionais, que provavelmente seriam coletados para ataques futuros.

O golpe do “namoro cultural” demonstrou muita criatividade. Depois do “match” e de algumas conversas breves em aplicativos de namoro, um novo “interesse amoroso” convidava a vítima para assistir a uma peça de teatro ou a um filme e enviava um link para comprar ingressos. Uma vez que o “pagamento” fosse concluído, o aplicativo de namoro e o site de venda de ingressos simplesmente desapareciam. Uma tática semelhante foi usada para vender ingressos para salas de fuga (escape rooms) imersivas, que ficaram muito populares recentemente; o design das páginas imitava sites reais para enganar os usuários.

Phishing em aplicativos de mensagens

O roubo de contas do Telegram e do WhatsApp se tornou uma das ameaças mais difundidas do ano. Os golpistas dominaram a arte de mascarar o phishing como atividades padrão do aplicativo de bate-papo e expandiram seu alcance geográfico de forma significativa.

No Telegram, as assinaturas Premium gratuitas foram a isca principal. Essas páginas de phishing só estavam disponíveis em russo e inglês, mas houve uma grande expansão para outros idiomas em 2025. As vítimas recebiam uma mensagem (geralmente da conta invadida de um amigo) oferecendo um “presente”. Para ativá-lo, o usuário precisava fazer login na sua conta do Telegram no site do invasor, o que levava imediatamente a outra conta invadida.

Outro golpe comum envolvia ofertas feitas por celebridades. Um ataque específico, disfarçado como uma oferta de NFTs, destacou-se porque operou por meio de um Telegram Mini App. Para o usuário comum, detectar um Mini App malicioso é muito mais difícil do que identificar uma URL externa suspeita.

Por fim, o golpe clássico vote no meu amigo utilizando aplicativos de mensagens evoluiu em 2025. Ele solicitava que as pessoas votassem no “melhor dentista da cidade” ou no “principal líder operacional”, mas, infelizmente, isso era apenas uma isca para a invasão de contas.

Outro método inteligente para sequestrar contas do WhatsApp foi descoberto na China, em que as páginas de phishing eram uma imitação perfeita da interface real do WhatsApp. As vítimas foram informadas de que, devido a alguma suposta “atividade ilegal”, elas precisavam passar por uma “verificação adicional”, o que resultou no roubo das suas contas, como você já deve ter adivinhado.

Personificação de serviços governamentais

O phishing que imita mensagens e portais do governo é um “clássico do gênero”, mas em 2025, os golpistas adicionaram alguns elementos novos.

Na Rússia, os ataques de vishing contra usuários de serviços governamentais ganharam força. As vítimas receberam e-mails alegando que um login não autorizado havia sido feito nas suas contas, e por isso deveriam ligar para um número específico e fazer uma “verificação de segurança”. Para parecer legítimo, os e-mails continham informações técnicas falsas: endereços IP, modelo dos dispositivos e a data e hora do suposto login. Os golpistas também enviaram notificações falsas de aprovação de empréstimos: caso o destinatário não tivesse solicitado um empréstimo (e não tinha), ele deveria ligar para uma equipe de suporte falsa. Uma vez que a vítima em pânico falasse com um “operador”, a engenharia social se encarregava do resto do trabalho.

No Brasil, invasores criaram portais governamentais falsos com o objetivo de coletar números de contribuintes (CPF). Como esse número é a identificação principal para acessar serviços estaduais, bancos de dados nacionais e documentos pessoais, um CPF sequestrado viabiliza o roubo de identidade.

Na Noruega, os golpistas visavam pessoas que desejavam renovar a carteira de motorista. Um site que imita a Administração de Estradas Públicas da Noruega coletou uma quantidade enorme de dados pessoais: desde números de placas, nomes completos, endereços e números de telefone até os números de identificação pessoal exclusivos atribuídos aos residentes. A cereja do bolo foi solicitar que os motoristas pagassem uma “taxa de substituição de licença” de 1.200 NOK (mais de US$ 125). Os golpistas colocaram as mãos em dados pessoais, informações de cartões de crédito e dinheiro. Um verdadeiro golpe triplo!

De um modo geral, motoristas são um alvo atraente: está claro que eles têm dinheiro e um carro, e temem perdê-lo. Golpistas sediados no Reino Unido tiraram vantagem desse fato ao solicitar que motoristas pagassem com urgência um imposto em atraso relativo ao veículo deles para evitar alguma “ação de execução” não especificada. Esta mensagem urgente de “aja agora!” é uma estratégia clássica de phishing para que a vítima não perceba que uma URL é suspeita ou que sua formatação é mal feita.

Podemos usar sua identidade, por favor?

Em 2025, observamos um aumento nos ataques de phishing envolvendo verificações de Conheça seu cliente (KYC). Para reforçar a segurança, muitos serviços agora verificam os usuários por meio de biometria e documentos oficiais com foto. Os golpistas aprenderam a coletar esses dados ao falsificar as páginas de serviços populares que implementam essas verificações.

O que diferencia esses ataques é que, além das informações pessoais padrão, há a exigência de fotos de documentos de identidade ou do rosto da vítima, às vezes de vários ângulos. Esse tipo de perfil completo pode ser vendido em marketplaces da dark Web ou usado para fins de roubo de identidade. Falamos mais sobre esse processo na nossa postagem O que acontece com os dados roubados por meio de phishing?

Golpistas de IA

Naturalmente, os fraudadores não iriam deixar de aproveitar a disseminação da inteligência artificial. O ChatGPT tornou-se uma grande isca: fraudadores criaram páginas falsas de checkout de assinatura do ChatGPT Plus e ofereceram “prompts exclusivos” com a garantia de que o usuário iria viralizar nas mídias sociais.

O golpe “ganhar dinheiro com IA” foi particularmente cínico. Os golpistas ofereciam renda passiva advinda de apostas supostamente feitas pelo ChatGPT: o bot faria todo o trabalho difícil enquanto o usuário apenas observaria o dinheiro cair na conta. Parece um sonho, certo? Mas para “agarrar” esta oportunidade, era necessário agir rápido. O preço especial para perder dinheiro era válido por apenas 15 minutos a partir do momento em que a página era acessada, fazendo com que as vítimas não tivessem tempo para pensar duas vezes.

Em geral, os golpistas estão adotando a IA de forma agressiva. Eles estão aproveitando deepfakes, automatizando o design de sites de alta qualidade e gerando uma cópia refinada para o envio massivo de e-mails. Até mesmo chamadas ao vivo com as vítimas estão se tornando componentes de golpes mais complexos. Esse fato foi detalhado na nossa postagem Como phishers e golpistas usam a IA.

Armadilhas disfarçadas de vagas de emprego

Quem está em busca de trabalho é o principal alvo de pessoas mal-intencionadas. Ao divulgar vagas remotas com altos salários em grandes empresas, os phishers coletavam os dados pessoais dos candidatos e às vezes até solicitavam o pagamento de pequenas “taxas de processamento de documentos” ou “comissões”.

Em configurações mais sofisticadas, os sites de phishing de “agências de emprego” solicitavam o número de telefone vinculado à conta do Telegram do usuário durante o registro. Para concluir a “inscrição”, a vítima precisava inserir um “código de confirmação”, que na verdade era um código de autorização do Telegram. Depois de inseri-lo, o site solicitava mais informações relativas ao perfil do usuário, o que claramente era apenas uma distração para impedir que ele percebesse a nova notificação de login no seu telefone. Para “verificar o usuário”, a vítima era instruída a esperar 24 horas, dando aos golpistas, que já tinham meio caminho andado, tempo suficiente para sequestrar a conta do Telegram para sempre.

A empolgação é uma mentira (mas muito convincente)

Como de costume, os golpistas foram rápidos em se inteirar de todas as manchetes que relatavam tendências em 2025, lançando campanhas de e-mail a uma velocidade vertiginosa.

Por exemplo, após o lançamento das moedas de meme $ TRUMP pelo presidente dos EUA, houve uma explosão de golpes prometendo NFTs gratuitas da “Trump Meme Coin” e dos “Trump Digital Trading Cards”. Nós já explicamos em detalhes exatamente como as moedas de meme funcionam e como (não) perder dinheiro com elas.

No segundo em que o iPhone 17 Pro chegou ao mercado, ele se tornou o prêmio oferecido em inúmeras pesquisas falsas. Depois de “ganhar”, os usuários só precisavam fornecer suas informações de contato e pagar pelo envio. Depois que esses dados bancários eram inseridos, o “vencedor” corria o risco de perder não apenas o valor do envio, mas cada centavo da sua conta.

Aproveitando a onda do Ozempic, os golpistas inundaram as caixas de entrada das pessoas com ofertas de versões falsificadas do medicamento ou de “alternativas” suspeitas das quais os farmacêuticos reais nunca tinham ouvido falar.

E durante a turnê mundial da banda de K-pop BLACKPINK, os spammers fizeram publicidade das “malas scooters iguais às que a banda usa”.

Até o casamento de Jeff Bezos no verão de 2025 foi utilizado na aplicação de golpes “nigerianos” por e-mail. Os usuários receberam supostas mensagens do próprio Bezos ou da sua ex-esposa, MacKenzie Scott. Os e-mails prometiam grandes somas de dinheiro em nome de instituições de caridade ou como “compensação” da Amazon.

Como se proteger

Como você pode ver, os golpistas não têm limites quando se trata de inventar novas maneiras de roubar o seu dinheiro e dados pessoais, ou até mesmo toda a sua identidade. Estes são apenas alguns dos exemplos mais loucos de 2025. Você pode ler uma análise completa do cenário de ameaças de phishing e spam na Securelist. Enquanto isso, aqui estão algumas dicas para evitar que você se torne uma vítima. Compartilhe-as com seus amigos e familiares, especialmente crianças, adolescentes e idosos, pois esses grupos costumam ser os principais alvos dos golpistas.

1. Verifique a URL antes de inserir qualquer informação. Mesmo que os pixels da página pareçam perfeitos, a barra de endereço pode revelar o golpe.
2. Não clique em links de mensagens suspeitas, mesmo se forem enviados por alguém que você conheça, pois a conta deles pode facilmente ter sido invadida.
3. Nunca compartilhe códigos de verificação com ninguém. Eles são as chaves mestras da sua vida digital.
4. Ative a autenticação de dois fatores sempre que puder. Isso representa um obstáculo extra essencial para os hackers.
5. Desconfie de ofertas “boas demais para serem verdade”. iPhones grátis, dinheiro fácil e presentes de estranhos são quase sempre uma armadilha. Para relembrar, confira nossa postagem Phishing 101: o que fazer se você receber um e-mail de phishing.
6. Instale uma proteção robusta em todos os seus dispositivos. O Kaspersky Premium bloqueia automaticamente sites de phishing, anexos maliciosos e e-mails de spam antes mesmo de você ter a chance de acessá-los. Além disso, nosso aplicativo Kaspersky for Android tem um sistema antiphishing de três camadas que consegue detectar e neutralizar links maliciosos em qualquer mensagem de qualquer aplicativo. Leia mais sobre isso na nossa postagem Uma nova camada de segurança antiphishing no Kaspersky for Android.