Fraude Digital reúne análises, alertas e pesquisa sobre o ecossistema da fraude online: phishing e engenharia social, golpes de PIX e cartão, roubo de identidade, malware financeiro e as técnicas de detecção que os combatem. Em português, verificado contra as fontes primárias.
A Revolut confirmou ter entregado documentos de KYC, selfies de verificação e históricos de transações em Bitcoin de clientes após receber uma solicitação fraudulenta enviada de uma conta de e-mail comprometida dentro do domínio real de uma agência governamental. A fintech não foi hackeada diretamente: o processo de verificação baseado em autenticação de domínio foi enganado por credenciais legítimas de um e-mail institucional invadido. O caso expõe como a confiança em domínios oficiais, sem confirmação fora de banda, pode ser explorada para extrair dados sensíveis em massa.
Um relatório de inteligência de ameaças da Anthropic identificou um estúdio na China que usou o modelo Claude para operar uma rede de mais de 20 aplicativos de namoro, gerando cerca de 4.700 personas de IA distintas que conversaram com pelo menos 25 mil pessoas em apenas duas semanas. A operação combinava bots de IA para volume de conversas com operadores humanos reais para tarefas que exigem presença, como chamadas de vídeo, um modelo híbrido que escala o clássico romance scam a um patamar industrial.
O FBI emitiu um alerta sobre uma onda de ataques de "OAuth consent phishing" mirando pessoas proeminentes, familiares e conhecidos próximos em aplicativos de mensagens. A vítima é induzida a aprovar uma tela legítima de permissão OAuth, achando que está liberando acesso a um contato ou serviço confiável, mas na prática concede a um app malicioso a capacidade de ler e-mails, enviar mensagens e acessar dados em seu nome. O golpe é particularmente perigoso porque não depende de roubar senha nenhuma e sobrevive à troca de senha da vítima.
O FLHSMV, órgão de trânsito da Flórida, confirmou que seu banco DAVID (com dados de motoristas e veículos) foi acessado indevidamente usando credenciais de um funcionário do Departamento de Polícia de Plant City, mal armazenadas em um dispositivo pessoal. O grupo ShinyHunters reivindicou o roubo de mais de 200 mil registros e divulgou capturas de tela como prova, incluindo dados ligados a Jeffrey Epstein. Não há confirmação de fraude já cometida com os dados, mas o tipo de informação exposta é justamente o insumo clássico para roubo de identidade.
A Microsoft atribuiu a grupos como Storm-3121 (ligado ao ShinyHunters) e Storm-3032 (marca Helix) uma campanha de engenharia social que se passa por suporte técnico para convencer funcionários a "atualizar" passkeys, MFA ou configurações de SSO. As vítimas caem em páginas de phishing adversary-in-the-middle que capturam credenciais e sessões, dando acesso a SharePoint, Outlook, OneDrive e apps conectados como Salesforce e Slack. Os dados são exfiltrados lentamente, ao longo de horas ou dias, e depois usados em esquemas de extorsão pelos mesmos grupos que já operam no ecossistema ShinyHunters/Scattered Spider.
Uma pesquisa da Experian mostra que 60% das empresas relatam perdas por fraude maiores que em anos anteriores, com phishing gerado por IA citado por 53% dos respondentes como principal preocupação, à frente de fraude de primeira parte assistida por IA (51%), documentos falsificados por IA (45%) e deepfakes de voz/imagem (37%/35%). O estudo também mede a consciência do consumidor sobre esses golpes, que ainda fica abaixo da prevalência real das técnicas.
Pesquisadores da INKY identificaram, entre junho e agosto de 2026, uma campanha de phishing que usa arquivos SVG contendo JavaScript malicioso para redirecionar vítimas a páginas de roubo de credenciais que imitam Microsoft 365, Google Workspace e Adobe. Os e-mails, disfarçados de notificação de mensagem de voz perdida, são enviados em horário comercial para parecerem legítimos, e muitas das páginas finais funcionam como proxies adversary-in-the-middle capazes de capturar sessão autenticada e derrotar MFA. O uso de SVG é atraente para o atacante porque muitos filtros de e-mail tratam esse formato como imagem inofensiva, não como conteúdo executável.
Um ataque à plataforma de email marketing Brevo permitiu o envio de phishing pela própria conta oficial de newsletter da Trezor, atingindo 347 mil endereços cadastrados. O email simulava um alerta crítico de segurança e levava a vítima a um app falso que pedia a frase de recuperação da carteira — 2.500 pessoas chegaram a clicar no link antes da Trezor derrubar o domínio.
Um estudo acadêmico monta um honeypot telefônico com personas de IA atendendo números reais dos EUA e mede, com metodologia auditável, quanta ligação indesejada é feita por máquina e quanta usa voz sintetizada. O achado central é que ao menos um quarto das ligações não solicitadas já é gerada por máquina, mas quase nenhuma se declara como tal — e os detectores comerciais de voz sintética ainda erram de forma significativa.
Criminosos comprometeram o provedor de e-mail terceirizado da Trezor e dispararam mensagens de phishing a partir do endereço legítimo help@trezor.io, alegando uma falha inexistente no microcontrolador STM32 usado nas carteiras frias da empresa. A isca criava urgência de segurança para levar o usuário a clicar em um link malicioso, com o objetivo final de capturar a seed phrase da carteira. A Trezor derrubou o domínio falso e orientou os clientes a ignorar o e-mail e nunca inserir a frase de recuperação em nenhum site.
Pesquisadores analisaram os 15 milhões de meme coins lançados na plataforma pump.fun nos últimos dois anos e identificaram cinco estratégias recorrentes de manipulação: wash trading, ofuscação do endereço do criador, venda coordenada, moedas cópia e manipulação em redes sociais. O achado mais notável é a existência de "Market-Manipulation-as-a-Service" (MMaaS), ferramentas de terceiros que permitem a qualquer pessoa sem conhecimento técnico executar esses golpes de forma automatizada. Os autores documentam um caso real de recuperação de cerca de US$ 600 mil junto a uma grande anunciante chinesa após identificar redes de anúncios envolvidas.
Pesquisadores apresentam um método de detecção de áudio sintético baseado em embeddings CLAP e similaridade entre segmentos temporais, treinando classificadores leves que distinguem voz e música autênticas de versões geradas por IA. O trabalho é relevante para o combate a fraudes com voz clonada (golpes do falso parente, vishing corporativo, fraude em call center) por oferecer uma alternativa interpretável e computacionalmente barata a modelos de deep learning mais pesados. Os autores também revelam um achado preocupante: boa parte das características estatísticas usadas para distinguir áudio real de falso inverte de direção entre o treino e o uso em produção, o que exige cautela antes de confiar cegamente nessas métricas.
Mensagens de texto aparentemente enviadas por engano — como um convite para jantar destinado a outra pessoa — são, na verdade, uma técnica de triagem usada por golpistas para identificar números ativos e pessoas propensas a interagir com estranhos. Responder, mesmo só para corrigir o mal-entendido, sinaliza ao criminoso que aquele número é um alvo produtivo para campanhas futuras de engenharia social.
Com a clonagem de voz por IA cada vez mais acessível e convincente, cresce a recomendação de que famílias combinem uma palavra ou frase-código secreta para confirmar identidade em ligações suspeitas, especialmente em golpes de "sequestro virtual" onde um criminoso finge ter um parente em perigo. A matéria cita que um em cada quatro americanos já recebeu uma ligação com voz clonada e que boa parte não conseguiu diferenciá-la da voz real. A defesa proposta é barata e não depende de tecnologia: um segredo compartilhado que o golpista, sem acesso à conversa original, não tem como reproduzir.
Um homem de Ohio foi condenado a 15 anos de prisão por uma série de crimes cibernéticos que incluem perseguição online (cyberstalking) e sextorsão de múltiplas vítimas usando conteúdo pornográfico gerado por inteligência artificial. O caso ilustra como ferramentas de IA generativa vêm sendo incorporadas a esquemas de extorsão, ampliando o alcance e o poder de coerção sobre as vítimas.
O grupo GoldFactory está distribuindo o trojan bancário Android Gigabud em conjunto com o Vwork, uma versão modificada do clonador de aplicativos open-source Shelter, para clonar apps bancários legítimos em um perfil isolado do sistema e executar transações fraudulentas sem levantar suspeita. A campanha já comprometeu mais de 1.400 dispositivos na Indonésia, com perdas próximas de US$ 961 mil entre fevereiro e julho de 2026, e também atinge Brasil, Colômbia, México e outros países.
Um novo ataque de inferência visual usa a câmera dos óculos inteligentes Meta Ray-Ban para observar a digitação de senhas em teclados de smartphone e reconstruir a senha combinando análise de movimento de dedo com estatística de 2,19 bilhões de senhas vazadas. Em testes com usuários, senhas de até 16 caracteres escolhidas por humanos foram quebradas em horas a dias, e senhas de gerenciador de senhas de até 13 caracteres em menos de uma hora com GPU comum.
Pesquisadores entrevistaram 17 voluntários que praticam "scambaiting" — a prática de se passar por vítima para investigar, expor e desperdiçar o tempo de golpistas de Technical Support Scams (TSS), o golpe da falsa central de suporte técnico. O estudo, aceito na ACM CCS 2026, conclui que essa comunidade acumula conhecimento operacional sobre os golpistas que frequentemente falta à própria pesquisa acadêmica sobre o tema, mas carece de suporte estruturado.
Um estudo acadêmico descreve um método de captura, via Core NFC no iOS, do número da conta primária (PAN) e da validade de cartões de pagamento contactless dos sistemas PRO100, HUMO e UZCARD — usados na Rússia e no Uzbequistão, mercados sem suporte oficial ao Apple Pay. Os autores deixam claro que a técnica apenas lê e extrai dados de registro do cartão, sem emular o cartão, autorizar pagamentos ou provar posse, mas o PAN e a validade capturados são justamente os dados centrais explorados em fraude de cartão not-present.
Uma operação batizada de DoppelCart mantém uma rede de mais de 119 mil domínios que simulam e-commerces legítimos para coletar dados de cartão de pagamento de consumidores no momento do checkout falso. A escala do número de domínios sugere infraestrutura automatizada de criação em massa de lojas fraudulentas, um modelo que dificulta o takedown por operar em volume e rotatividade constante.
O grupo de extorsão ShinyHunters alega ter comprometido o sistema DAVID, plataforma usada pelo Departamento de Trânsito (DMV) da Flórida, e roubado mais de 200 mil registros de motoristas. Dados de identidade governamental como esses são especialmente valiosos para fraude, pois costumam conter nome completo, endereço, data de nascimento e número de habilitação — insumos-chave para roubo de identidade e abertura de contas fraudulentas.
Pesquisadores da ZeroBEC identificaram uma atualização significativa no kit de phishing-as-a-service Greatness, que agora combina ataques adversary-in-the-middle (AiTM) com roubo de token de sessão e phishing de código de dispositivo, mirando contas corporativas do Microsoft 365, Google Workspace, iCloud e Yahoo. A evolução torna o kit capaz de contornar autenticação multifator tradicional, ampliando o risco para organizações que dependem apenas de MFA baseado em senha temporária.
Um cluster de ameaças batizado de PREY-0058 está comprometendo executivos de alto escalão em ambientes Microsoft 365 usando apenas engenharia social por telefone, sem qualquer malware. Os atacantes se passam por suporte de TI interno, capturam credenciais e aprovações de MFA em tempo real e sequestram a sessão para drenar dados de SharePoint, OneDrive, Exchange e Box antes de exigir resgate.
Um banco de dados com 32,8 milhões de registros de usuários ligados a publicações da Condé Nast, incluindo e-mail, nome, endereço e data de nascimento, está à venda por US$ 15 mil em um fórum russo de cibercrime. A combinação de dados reais de identidade e endereço abre caminho para golpes de personificação da própria marca contra assinantes.
Pesquisadores da CloudSEK acessaram o painel de controle do BigBear 2.0, um phishing-as-a-service construído sobre o Evilginx2 que rouba credenciais, códigos de MFA e cookies de sessão do Microsoft 365 em tempo real. O serviço já exfiltrou mais de 5 mil credenciais e derrubou a autenticação multifator completa de 258 organizações em mais de 40 países.
2 min
0
Receba o boletim da Fraude Digital
Um resumo com os golpes da vez, novas técnicas de fraude e o que funciona na defesa — direto no seu e-mail, sem ruído.
frequência quinzenal · cancele quando quiser
sobre
Por que a Fraude Digital existe
A fraude digital move bilhões e atinge desde o consumidor no WhatsApp até o time de risco de um banco — mas o material técnico de qualidade está disperso, em inglês e desatualizado.
Fraude Digital nasce para fechar essa lacuna no Brasil: conteúdo em português, verificado contra as fontes primárias, que explica como o golpe funciona por dentro e como a defesa o detecta.
fonte primáriaTodo alerta cita o relatório, o artefato ou o paper original — nada de boato ou telefone sem fio.
sem alarmismoExplicamos o risco real e o vetor técnico, sem pânico e sem vender solução milagrosa.
defesa acionávelToda análise termina no que dá para fazer: como reconhecer, prevenir e responder ao golpe.