Principais destaques
- Hackers estão ligando diretamente para funcionários de grandes empresas, fingindo ser integrantes do suporte de TI ou colegas de trabalho, para roubar senhas e códigos de autenticação.
- O grupo acompanhado pelo Google como UNC6671 já atingiu dezenas de organizações e usa técnicas capazes de contornar até mecanismos de autenticação multifator.
- Depois de invadir ambientes corporativos e copiar documentos, os criminosos ameaçam divulgar os dados e chegam a exigir milhões de dólares das vítimas.
A imagem de um ataque hacker costuma envolver códigos, programas maliciosos e invasores tentando explorar uma falha sofisticada em algum sistema. Mas uma campanha investigada pelo Google mostra que, em muitos casos, o caminho para uma grande invasão pode começar de uma maneira muito mais simples: com um telefonema.
Pesquisadores do Google Threat Intelligence Group identificaram uma operação criminosa que vem mirando organizações de grande porte e usando engenharia social para convencer funcionários a entregar, sem perceber, as informações necessárias para uma invasão.
A campanha chama atenção especialmente porque os criminosos não precisam necessariamente instalar um vírus no computador da vítima ou descobrir uma vulnerabilidade inédita. Eles exploram algo muito mais difícil de proteger: a confiança de uma pessoa.
O ataque começa com uma ligação. Do outro lado da linha, o criminoso pode se apresentar como integrante da equipe de tecnologia, funcionário do suporte ou até alguém conhecido dentro da empresa. A conversa então é conduzida para criar uma sensação de urgência e fazer com que o funcionário siga instruções aparentemente legítimas.
A estratégia é conhecida como vishing, uma combinação de “voice” e “phishing”. Na prática, trata-se de um golpe de phishing realizado por telefone.
E o problema vai muito além do roubo de uma senha.
Uma ligação pode abrir caminho para os sistemas da empresa
Segundo o Google, os grupos associados à campanha utilizam sites falsos que imitam páginas legítimas de login corporativo. O funcionário pode receber instruções para acessar uma página relacionada a uma suposta atualização de segurança, mudança no sistema de autenticação ou procedimento de suporte.
Quando a vítima coloca suas informações nessa página, os criminosos conseguem capturar credenciais de acesso.
Em determinadas situações, o golpe também tenta obter o código usado na autenticação multifator, conhecida pela sigla MFA. Esse mecanismo foi criado justamente para adicionar uma camada de proteção além da senha, mas algumas técnicas utilizadas pelos invasores conseguem colocar o criminoso no meio da comunicação entre o usuário e o serviço legítimo.
O Google descreve o uso de técnicas de Adversary-in-the-Middle, ou AiTM. Em termos simples, o invasor tenta atuar como intermediário entre a vítima e o serviço que ela acredita estar acessando. Isso pode permitir que credenciais e informações de autenticação sejam capturadas durante o processo de login.
Essa característica ajuda a explicar por que simplesmente exigir MFA não é suficiente para impedir todos os ataques de engenharia social.
Depois de conseguir acesso, o criminoso pode tentar registrar novos mecanismos de autenticação ou manter uma forma de continuar entrando na conta mesmo depois que a vítima percebe o problema.
O Google também identificou operações envolvendo ambientes de nuvem, incluindo Microsoft 365 e Okta. Em ataques anteriores atribuídos ao UNC6671, pesquisadores observaram a extração de informações armazenadas em serviços como SharePoint e OneDrive.
Isso muda completamente a dimensão do problema.
O invasor não está necessariamente interessado apenas na conta de uma pessoa. O objetivo pode ser usar aquela identidade como uma porta de entrada para encontrar documentos, mensagens, arquivos e outros dados armazenados no ambiente corporativo.
Os criminosos também automatizam o roubo
Depois da invasão, os hackers podem utilizar scripts para acelerar a coleta de informações. O Google encontrou evidências de uso de Python e PowerShell durante atividades de extração de dados.
Em uma análise de registros do Microsoft 365, os pesquisadores identificaram comportamentos que indicavam acessos automatizados. Em vez de simplesmente navegar manualmente pelos arquivos como faria um funcionário, os invasores utilizaram ferramentas capazes de baixar grandes quantidades de informações de forma programática.
Esse detalhe é importante porque mostra como o ataque pode evoluir rapidamente.
A ligação telefônica é apenas a primeira etapa. Depois que a vítima fornece o acesso, a operação pode passar para uma fase muito mais automatizada, na qual os criminosos procuram documentos valiosos e tentam copiar grandes volumes de dados.
Entre os alvos de interesse estão informações corporativas, propriedade intelectual, código-fonte, documentos financeiros e dados confidenciais de clientes.
Para uma empresa envolvida em negociações bilionárias, fusões, aquisições ou disputas judiciais, um único conjunto de documentos internos pode representar uma vantagem enorme para quem pretende extorquir a organização.
O setor financeiro se tornou especialmente atraente
O Google informou que os grupos ligados a essa atividade já atacaram empresas de diferentes setores, incluindo manufatura, imóveis, saúde, seguros, tecnologia, transporte e hotelaria.
Mais recentemente, porém, os criminosos passaram a concentrar atenção em organizações jurídicas e financeiras.
Essa escolha não parece ser acidental.
Empresas que trabalham com investimentos, fusões e aquisições ou operações de grande valor normalmente concentram informações extremamente sensíveis. Documentos sobre uma negociação ainda não anunciada, por exemplo, podem ter enorme valor estratégico.
O mesmo vale para informações relacionadas a clientes importantes, processos judiciais, investimentos, movimentações financeiras e decisões empresariais ainda confidenciais.
Segundo informações divulgadas pela Reuters e reproduzidas no material original, entre as empresas que teriam sido alvo estão nomes importantes do mercado financeiro americano, como Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s e TPG.
As empresas não foram oficialmente identificadas pelo Google como vítimas da campanha.
A concentração nesses setores, entretanto, ajuda a entender a lógica econômica por trás dos ataques. Quanto mais valiosa for a informação roubada, maior pode ser a pressão exercida sobre a empresa.
O criminoso não precisa necessariamente destruir os sistemas.
Ele pode simplesmente copiar informações e dizer: “Se você não pagar, nós publicaremos tudo”.
Essa é uma das características mais perigosas do modelo de extorsão baseado em roubo de dados.
O resgate pode chegar a milhões
O Google afirma que os grupos costumam fazer exigências entre US$ 750 mil e US$ 3 milhões.
Em alguns casos, os valores iniciais podem ser ainda maiores.
Em uma investigação anterior sobre o UNC6671, o Google descreveu uma operação que começou com exigências na casa dos milhões de dólares, embora os valores pudessem diminuir durante as negociações quando a vítima demonstrava disposição para conversar.
O tamanho das exigências também mostra por que os criminosos procuram organizações capazes de pagar quantias muito altas.
O Google identificou ainda uma carteira de criptomoedas associada a um dos grupos que recebeu aproximadamente US$ 10 milhões em bitcoin nos primeiros meses de 2026.
A criptomoeda aparece nesse tipo de operação porque facilita transferências internacionais e pode dificultar a identificação imediata dos responsáveis, embora transações em blockchain não sejam simplesmente invisíveis para investigadores.
A extorsão também ganhou uma estrutura própria.
Alguns grupos mantêm páginas na internet nas quais anunciam supostos ataques e ameaçam divulgar informações roubadas. A ideia é aumentar a pressão sobre a vítima e demonstrar publicamente que os criminosos estão dispostos a cumprir suas ameaças.
Um grupo pode estar escondido atrás de vários nomes
Um dos aspectos mais curiosos da investigação é a dificuldade para determinar exatamente quem está por trás de cada operação.
O Google acompanha essa atividade sob o identificador UNC6671 e identificou diferentes marcas utilizadas pelos criminosos, incluindo BlackFile, Redact e Pink.
A empresa acredita que os grupos Falcon, Helix, Pink e Redact podem estar relacionados a uma estrutura maior.
Isso não significa necessariamente que todos sejam exatamente a mesma equipe. Eles podem ser grupos independentes, afiliados, ramificações de uma operação maior ou até organizações diferentes utilizando infraestrutura semelhante.
Pesquisadores de outras empresas de segurança também encontraram conexões entre algumas dessas operações.
A CrowdStrike, por exemplo, relaciona Pink, Redact e Helix ao identificador UNC6671 e ao nome Cordial Spider, classificando o grupo como uma operação criminosa com motivação financeira.
Essa sobreposição de nomes é comum no universo do crime digital e pode dificultar a identificação dos responsáveis.
Os criminosos também podem mudar de marca depois que uma operação começa a ser conhecida pelas empresas de segurança.
Foi exatamente algo parecido que os pesquisadores observaram em relação ao BlackFile.
BlackFile desapareceu, mas a operação continuou
Em maio, o Google publicou uma análise detalhada da operação BlackFile e afirmou que o grupo vinha atuando desde o início de 2026 contra dezenas de organizações na América do Norte, Reino Unido e Austrália.
O grupo chegou a criar um site dedicado para publicar dados de vítimas.
No entanto, o site BlackFile saiu do ar no fim de abril e voltou brevemente em maio antes de anunciar o encerramento da marca.
A história poderia parecer o fim da operação, mas pesquisadores passaram a observar novas marcas apresentando características muito semelhantes.
O Pink, por exemplo, surgiu com uma estratégia bastante parecida. A operação utilizava ligações falsas de suporte técnico, páginas de login fraudulentas e roubo de dados corporativos.
Pesquisadores do Google avaliaram que o Pink poderia representar uma nova identidade utilizada pelo mesmo grupo depois do encerramento do BlackFile.
Esse comportamento torna o combate mais complicado.
Quando uma marca criminosa desaparece, isso não significa necessariamente que as pessoas por trás dela também desapareceram. Uma equipe pode simplesmente mudar sua infraestrutura, registrar novos domínios e adotar outro nome.
É como fechar uma loja e reabrir pouco depois com uma nova fachada.
Por que o ataque funciona mesmo com MFA?
Talvez essa seja a parte mais importante de toda a história.
Durante anos, empresas foram orientadas a adotar autenticação multifator como uma das principais formas de proteger contas corporativas.
E ela continua sendo extremamente importante.
O problema é que existem diferentes tipos de MFA.
Um código enviado por aplicativo ou digitado em uma página pode ser capturado em determinadas situações. Se o criminoso consegue convencer a vítima a compartilhar ou aprovar uma solicitação de autenticação durante uma ligação falsa, a proteção pode ser enfraquecida.
Por isso, especialistas vêm destacando a importância de métodos resistentes a phishing, como determinados tipos de passkeys e chaves de segurança baseadas em padrões modernos de autenticação.
O próprio Google afirma que a campanha reforça a necessidade de as organizações migrarem para formas de MFA resistentes a phishing. A empresa também destaca que os ataques observados não dependem de uma vulnerabilidade em um produto específico, mas da manipulação do usuário e do comprometimento de sua identidade.
Essa diferença é fundamental.
Não existe uma atualização que simplesmente “corrija” uma pessoa sendo enganada durante uma ligação.
A proteção precisa combinar tecnologia, processos internos e treinamento.
A engenharia social continua sendo uma das armas mais eficientes
Existe uma ironia no avanço desses ataques.
Enquanto a indústria de segurança se preocupa com inteligência artificial capaz de automatizar operações criminosas, grupos como o UNC6671 continuam obtendo resultados com uma ferramenta que existe há décadas: a conversa humana.
O criminoso pode estudar a empresa antes de ligar.
Pode descobrir nomes de funcionários, cargos, ferramentas utilizadas e informações disponíveis publicamente.
Depois, usa esses dados para tornar a conversa mais convincente.
Uma pessoa que recebe uma ligação de alguém que sabe seu nome, conhece o departamento em que trabalha e menciona um procedimento real da empresa pode ter muito mais dificuldade para perceber que está diante de um golpe.
É justamente essa personalização que torna o vishing perigoso.
E existe outro elemento psicológico: a urgência.
Uma suposta mensagem do suporte dizendo que uma conta precisa ser atualizada imediatamente cria pressão para que o funcionário aja sem conferir a informação.
O mesmo acontece quando alguém é informado de que existe um problema de segurança e que precisa confirmar a identidade naquele instante.
A defesa começa antes da ligação
Para as empresas, uma das principais lições desse caso é que funcionários precisam ter uma maneira simples de confirmar pedidos suspeitos.
Se alguém ligar dizendo ser do departamento de TI, o funcionário deveria conseguir desligar e procurar o suporte por um canal oficial, sem sofrer pressão por isso.
Também é importante desconfiar especialmente de pedidos que envolvam senha, código MFA, aprovação de login ou mudança de configuração de segurança.
Outro ponto é monitorar o que acontece depois de uma conta ser comprometida.
Uma conta legítima que começa a baixar grandes quantidades de arquivos, acessar serviços em horários incomuns ou realizar operações de uma infraestrutura desconhecida pode indicar que a identidade foi tomada por um invasor.
No caso analisado pelo Google, foram observados acessos associados a VPNs comerciais e provedores de hospedagem, além de discrepâncias entre aplicações declaradas e os agentes de usuário registrados nos sistemas.
Isso cria uma segunda linha de defesa.
Mesmo que o funcionário seja enganado, o comportamento posterior da conta pode revelar que algo está errado.
O velho golpe ganhou uma estrutura profissional
O mais preocupante nessa campanha talvez seja perceber que não se trata simplesmente de um grupo enviando mensagens aleatórias para milhares de pessoas.
Existe uma cadeia organizada.
Primeiro, os criminosos identificam um funcionário.
Depois, fazem contato por telefone.
Em seguida, direcionam a vítima para uma página falsa.
Com as credenciais obtidas, procuram entrar nos sistemas corporativos.
Depois, utilizam ferramentas automatizadas para localizar e copiar dados.
Por fim, apresentam uma cobrança milionária e ameaçam divulgar as informações.
Essa estrutura transforma uma técnica de engenharia social relativamente antiga em um negócio criminoso sofisticado.
E ela também ajuda a explicar por que os ataques continuam acontecendo mesmo com empresas investindo cada vez mais em ferramentas de segurança.
A tecnologia pode bloquear milhares de ameaças automaticamente. Mas, se uma pessoa entrega voluntariamente uma credencial a um invasor que se apresenta como alguém de confiança, parte dessa proteção pode ser contornada.
O caso investigado pelo Google deixa, portanto, uma mensagem bastante clara: a segurança corporativa não depende apenas de firewalls, antivírus ou inteligência artificial.
Ela também depende da capacidade de uma organização de impedir que uma ligação aparentemente comum se transforme na porta de entrada para milhões de dólares em prejuízos.
E, enquanto os criminosos continuarem descobrindo que uma conversa convincente pode ser suficiente para iniciar uma invasão, o telefone continuará sendo uma das ferramentas mais simples e perigosas do arsenal do crime digital.
