Fraude Digital reúne análises, alertas e pesquisa sobre o ecossistema da fraude online: phishing e engenharia social, golpes de PIX e cartão, roubo de identidade, malware financeiro e as técnicas de detecção que os combatem. Em português, verificado contra as fontes primárias.
Atacantes exploraram uma falha até então desconhecida na infraestrutura de build da Railway para escapar do isolamento de sistema de arquivos e, a partir daí, abusar de uma relação de confiança mal configurada para extrair credenciais de descriptografia de variáveis de ambiente de clientes. Com essas credenciais, geraram cerca de US$ 740 mil em uso fraudulento de serviços de IA, em um incidente que expôs potencialmente até 100 mil workspaces e tokens OAuth vinculados de quase 2 mil usuários. O caso está ligado à campanha mais ampla "Black October", que também atingiu outras plataformas de desenvolvimento de IA.
Um estudo acadêmico analisou 2.700 tokens da Solana para avaliar se redes neurais de grafos (GNNs) conseguem identificar sinais de rug pull — o golpe de investimento em cripto onde criadores drenam a liquidez e somem com o dinheiro — usando apenas os primeiros minutos de histórico de negociação. Os autores definiram rug pull de forma objetiva, exigindo drenagem de liquidez, colapso de preço e depleção persistente em 24 horas, e compararam modelos baseados em grafo com modelos tradicionais sobre as mesmas janelas de tempo. Os resultados mostram que diferenças estruturais entre tokens fraudulentos e legítimos já aparecem nos primeiros 12,5 minutos de vida do token, o que é relevante para quem constrói sistemas de alerta antifraude em exchanges, carteiras e launchpads de Web3.
Um estudo acadêmico documentou um cluster de phishing ativo por mais de três anos que visou 93 universidades, 58 delas (62%) na Alemanha — cerca de 14% de todas as instituições do país. A particularidade técnica do grupo é enviar os e-mails de phishing a partir da própria infraestrutura universitária comprometida, usando credenciais válidas de funcionários e túneis de VPN institucional, o que torna as mensagens muito mais difíceis de identificar como fraudulentas.
Pesquisadores apresentaram o SEA (Social Engineering Attack Benchmark), o primeiro ambiente interativo para testar se agentes de IA que atuam em nome de usuários — com dinheiro real e dados sensíveis — resistem a tentativas de manipulação. O estudo, feito em consulta com especialistas antifraude, avaliou 11 modelos de ponta e encontrou taxas de sucesso de ataque de até 84% e verificação proativa abaixo de 32% em quase todos os casos.
A polícia cibernética ucraniana, em parceria com autoridades alemãs, prendeu quatro suspeitos ligados a uma rede de call centers que aplicava golpes de investimento em criptomoedas. O grupo usava ligações telefônicas e aplicativos de mensagens para ganhar a confiança de vítimas na Alemanha, levando-as a comprar criptoativos e transferi-los para contas controladas pelos criminosos. Mais de 135 vítimas alemãs foram atingidas antes do desmantelamento da operação.
Pesquisadores da Doctor Web identificaram uma campanha que distribui malware através de projetos falsos no GitHub disfarçados de ferramentas de segurança, capaz de desativar antivírus e sequestrar transações de criptomoedas por meio de um clipper que troca endereços de carteira copiados pela vítima. Mais de 2.000 PCs já foram infectados, com o alvo migrando de entusiastas de jogos blockchain para profissionais de segurança da informação.
O banco cooperativo francês Crédit Mutuel Arkéa revelou que criminosos invadiram a plataforma de um provedor terceirizado e, a partir desse acesso, usaram a própria conta operacional do banco para enviar transferências fraudulentas a outras instituições, desviando entre US$ 112,6 milhões e US$ 133 milhões conforme a fonte. Parte dos fundos já foi convertida em criptomoedas e lavada através de exchanges e do Monero antes da descoberta pública.
A empresa de threat intelligence Hunt.io identificou servidores expostos do ARTEX, um framework chinês de pentest autônomo que orquestra ataques usando múltiplos modelos de IA (incluindo DeepSeek e Claude Code como orquestrador), ligado a violações em sete instituições financeiras sul-coreanas. Entre os artefatos encontrados estavam contas de teste contra serviços de depósito em dinheiro, exploração de falhas de IDOR em serviços de empréstimo, sessões de saque de uma exchange de criptomoedas e automação de login com bypass de CAPTCHA — indícios claros de preparação para fraude financeira e account takeover, não apenas exposição de dados.
O Crédit Mutuel Arkéa sofreu um ataque sofisticado que entrou na rede do banco através da plataforma de um provedor de serviços terceirizado, permitindo transferências fraudulentas estimadas em 118 milhões de euros (cerca de US$ 133 milhões). Parte dos fundos foi convertida rapidamente em stablecoins (USDC/USDT) para dificultar o rastreamento, antes que autoridades europeias congelassem os ativos.
A empresa de segurança CTM360 identificou mais de 1.000 incidentes de uma campanha de falsos giveaways de cartão-presente que imita marcas como PlayStation, Sephora, SHEIN, Walmart e Amazon, usando anúncios patrocinados e endossos fabricados de influenciadores. O golpe não rouba cartão de crédito diretamente: lucra por meio de redes de afiliados, levando vítimas a completar pesquisas, instalar apps e assinar serviços móveis sem nunca entregar o prêmio prometido.
Uma campanha identificada pela BleepingComputer distribui repositorios falsos no GitHub disfarcados de ferramentas de pentest e automacao de scans, incluindo um suposto analisador para o scanner Fscan. O payload inclui um infostealer que rouba tokens do Discord, credenciais de VPN/FTP e dados de navegador, alem de um modulo "clipper" que troca silenciosamente o endereco de carteira cripto colado pela vitima. Mais de 2.000 sistemas Windows ja foram comprometidos, com o alvo migrando de usuarios de criptomoedas para profissionais de ciberseguranca.
A Chainalysis, empresa de inteligencia blockchain usada por bancos, exchanges e agencias governamentais para rastrear fraude e lavagem de dinheiro em criptoativos, confirmou uma violacao que expos credenciais de todos os seus clientes. Segundo a empresa, atacantes usaram tecnicas agentivas ofensivas de IA e um ataque on-path (interceptacao de trafego) para obter acesso, vazando nomes de usuario, hashes de senha e tokens de sessao ativos. A empresa desativou portais de login e forcou reset de senha e rotacao de chaves de API em todos os clientes como medida de contencao.
Um relatório da Group-IB descreve a fraude bancária como o produto final de uma cadeia de suprimentos criminosa que começa num infostealer disfarçado de software legítimo e passa por revenda de credenciais, maturação de contas-mula e, só meses depois, o desvio de dinheiro em si. O documento argumenta que a maior falha de detecção está no vácuo entre os times de segurança e de antifraude, que monitoram pontas diferentes da mesma cadeia sem cruzar sinais.
Pesquisadores propõem o LABBA, um sistema de autenticação contínua baseado no padrão acústico de soprar no microfone do celular, interpretado por um módulo de raciocínio em LLM em vez de limiares fixos. O sistema atingiu mais de 99% de acurácia em testes com 50 participantes e promete maior resistência a spoofing e roubo de credenciais do que métodos baseados só em senha ou token.
Um artigo acadêmico modela formalmente o confronto entre agentes de IA usados por golpistas para escalar fraudes e agentes de scambaiting que se passam por vítimas para extrair dados de contas-mula e carteiras cripto. O estudo encontra que a lucratividade do golpista cai a zero acima de certo limiar de agentes defensivos ativos, e que investir em mimetismo rende mais ao defensor do que investir em detecção rende ao atacante.
Uma campanha de phishing usa convites fraudulentos para eventos de empresas de IA para atrair funcionários corporativos e roubar credenciais do Microsoft 365 e Google Workspace. Dois serviços de phishing-as-a-service, Kali365 e VoidProxy, atuam em conjunto para abusar do fluxo de autenticação por código de dispositivo e para interceptar logins e cookies de sessão do Google via proxy adversário. O objetivo final é o acesso a contas corporativas com permissões amplas em sistemas como Salesforce e Slack.
A DigiCert confirmou que uma migração de servidor exposta à internet por engano permitiu acesso não autorizado a um sistema interno com registros arquivados de clientes, incluindo documentos de identificação como CNH e passaporte em alguns casos. A empresa diz que seus serviços de certificação não foram afetados, mas os dados expostos são justamente o tipo de material usado para fraude de identidade.
Grupos como o Scattered Spider têm atacado o service desk de TI em vez do MFA em si, se passando por funcionários para convencer atendentes a resetar senhas ou cadastrar novos dispositivos de autenticação. O texto aponta que perguntas de verificação baseadas em conhecimento público, como dados tirados do LinkedIn, não bastam mais, e que engenharia social por voz e SMS já supera o phishing por e-mail em taxa de sucesso.
A Vercel começou a implantar gradualmente o DBSC (Device Bound Session Credentials), tecnologia que vincula o cookie de sessão a uma chave privada armazenada no TPM do dispositivo, tornando o cookie inútil se copiado para outra máquina por malware infostealer. A medida é resposta direta ao crescimento de ataques de roubo de sessão como vetor de account takeover, inclusive um incidente que a própria Vercel sofreu em abril.
Hackers injetaram scripts JavaScript ofuscados em arquivos legítimos do launcher PC de Goddess of Victory: NIKKE, hospedados na CDN oficial da Level Infinite, em um ataque de cadeia de suprimentos. O payload instalava um RAT (K2F) e um infostealer que rouba credenciais, dados de navegador e, principalmente, frases de recuperação e chaves privadas de carteiras cripto como MetaMask, Phantom e Coinbase Wallet.
Convites fraudulentos do Google Calendar, com pretextos como avisos de correio de voz, intimações e cobranças em atraso, levam vítimas a um proxy reverso que captura credenciais e códigos de MFA do Google Workspace em tempo real. A operação, batizada 'Operation CloudFire' pela Material Security, já derrubou cerca de 900 domínios usados pelos atacantes para sequestrar sessões corporativas.
Um estudo em arXiv identificou vazamento de informação futura (data leakage) no Elliptic++, dataset de referência citado em mais de 1.300 trabalhos acadêmicos sobre detecção de atividade ilícita em Bitcoin. Ao corrigir a divisão temporal dos dados e documentar as definições reais das features, o desempenho de um modelo Random Forest despenca de F1 0,846 para apenas 0,291 na classe ilícita — deixando de superar até uma regressão logística simples.
Um novo artigo em arXiv (ScrambleMark) apresenta um ataque capaz de evadir sistemas comerciais de marca d'água em áudio — incluindo Google SynthID, Resemble AI e TrustedAudio — sem precisar acessar o detector ou remover a marca propriamente dita. Em vez de apagar o watermark, a técnica perturba a estrutura harmônica do áudio, mantendo qualidade natural de fala com quase 97% de taxa de evasão, muito acima de ataques anteriores.
Pesquisadores da Recorded Future identificaram grupos criminosos conhecidos como "traffers" oferecendo kits completos de phishing para imitar plataformas de prediction markets como Polymarket e Kalshi. O pacote inclui sites falsos, painéis administrativos, infraestrutura de pagamento em criptomoeda, gestão de vítimas e até suporte técnico, reduzindo drasticamente a barreira de entrada para novos fraudadores.
A Binance confirmou que o roubo de US$ 6,34 bilhões em criptoativos foi executado por hackers ligados à Coreia do Norte, rastreados como TraderTraitor, Lazarus Group, Jade Sleet e APT38, usando uma falsa oferta de emprego para instalar malware inédito em um funcionário. O grupo substituiu um binário legítimo do Homebrew por um executável malicioso disfarçado para obter acesso contínuo e, a partir dele, alcançar a infraestrutura de assinatura de carteiras da exchange.
2 min
0
Receba o boletim da Fraude Digital
Um resumo com os golpes da vez, novas técnicas de fraude e o que funciona na defesa — direto no seu e-mail, sem ruído.
frequência quinzenal · cancele quando quiser
sobre
Por que a Fraude Digital existe
A fraude digital move bilhões e atinge desde o consumidor no WhatsApp até o time de risco de um banco — mas o material técnico de qualidade está disperso, em inglês e desatualizado.
Fraude Digital nasce para fechar essa lacuna no Brasil: conteúdo em português, verificado contra as fontes primárias, que explica como o golpe funciona por dentro e como a defesa o detecta.
fonte primáriaTodo alerta cita o relatório, o artefato ou o paper original — nada de boato ou telefone sem fio.
sem alarmismoExplicamos o risco real e o vetor técnico, sem pânico e sem vender solução milagrosa.
defesa acionávelToda análise termina no que dá para fazer: como reconhecer, prevenir e responder ao golpe.