O que é vishing e por que está funcionando
A técnica usada pelos criminosos é conhecida como vishing, uma variação do phishing em que o contato acontece por voz, geralmente por telefone. Diferente de e-mails fraudulentos, a ligação permite que o invasor construa uma narrativa em tempo real, ajuste a abordagem conforme a reação da vítima e simule com mais facilidade a identidade de alguém de dentro da empresa.
Segundo o relatório divulgado nesta quinta-feira (06), os grupos ligam diretamente para celulares pessoais de funcionários e se passam por colegas de trabalho ou por integrantes da equipe de tecnologia. A partir daí, conduzem a vítima a inserir credenciais de acesso e códigos de autenticação em páginas falsas controladas pelos próprios atacantes.
O detalhe que torna o golpe particularmente perigoso é o foco em telefones pessoais, e não em ramais corporativos. Isso tira o funcionário do ambiente protegido da empresa e o coloca em uma conversa íntima, onde a pressão psicológica funciona melhor.
Os grupos por trás dos ataques
O Google atribui as operações a quatro grupos batizados de Falcon, Helix, Pink e Redact. A empresa ainda não confirmou a relação exata entre eles, mas acredita que podem fazer parte de uma estrutura maior, rastreada internamente como UNC6671. A hipótese mais provável é que compartilhem infraestrutura ou ferramentas, mesmo que atuem de forma independente ou como parceiros em diferentes operações.
Os alvos principais são empresas de private equity, fundos de investimento e outras organizações financeiras de grande porte nos EUA. O objetivo declarado pelos próprios criminosos, em sites próprios usados como vitrine de invasões, é negociar valores milionários sob ameaça de publicar arquivos confidenciais.
O que isso muda na prática?
Para o leitor brasileiro, mesmo que o caso envolva empresas norte-americanas, o alerta é direto: o mesmo método já é usado contra funcionários de empresas no Brasil e pode atingir qualquer organização que dependa de acesso remoto, autenticação por código e colaboração por telefone.
A principal lição prática é entender que nenhuma ligação, por mais convincente que seja, justifica inserir credenciais em uma página sob orientação de terceiros. Empresas sérias não pedem senhas, tokens ou códigos de verificação por telefone. Quem recebe esse tipo de pedido deve desligar, conferir o número por um canal oficial e, se confirmar que se trata de golpe, comunicar ao time de segurança da informação.
Outra medida útil é separar canais pessoais e profissionais: autenticação de dois fatores baseada em aplicativo (como Google Authenticator ou chave física) é muito mais resistente a esse tipo de ataque do que códigos recebidos por SMS, justamente porque o SMS pode ser interceptado em combinação com o golpe telefônico.
Por que empresas pagam milhões para não vazar
O modelo de extorsão descrito no relatório do Google não depende apenas de criptografar arquivos, como em ransomwares tradicionais. Aqui, os hackers mantêm sites públicos nos quais anunciam as invasões e pressionam as vítimas a pagar para evitar a divulgação de dados.
Esse tipo de vazamento pode destruir a reputação de uma gestora de investimentos, afetar cotação de empresas clientes e expor estratégias confidenciais. Para fundos de private equity, onde informações sobre fusões, aquisições e valuation são extremamente sensíveis, o cálculo costuma fechar a favor do pagamento, o que incentiva novos ataques.
Para o profissional comum, a reflexão é sobre o valor dos próprios dados: mesmo que a pessoa não trabalhe em uma dessas empresas, o celular corporativo ou pessoal virou a porta de entrada preferida de criminosos justamente porque humanos continuam sendo o elo mais fácil de enganar.
Como se proteger de ligações fraudulentas
Algumas atitudes reduzem drasticamente o risco de cair em um golpe de vishing. A primeira é desconfiar de qualquer ligação em que alguém peça para inserir senhas, códigos ou instalar programas, mesmo que o pedido venha em nome do próprio chefe ou do setor de TI. A segunda é nunca clicar em links enviados durante ou logo após uma ligação desse tipo: a página falsa costuma ser entregue por SMS, e-mail ou mensagem instantânea.
Empresas que ainda permitem autenticação apenas por SMS devem migrar para aplicativos autenticadores ou, idealmente, chaves físicas de segurança (como YubiKey). E quem trabalha com dados sensíveis precisa entender que o celular pessoal virou parte do perímetro de segurança da corporação, mesmo que o aparelho não seja corporativo.
O episódio relatado pelo Google reforça uma tendência que se consolidou nos últimos anos: os ataques mais caros da atualidade não exigem códigos complexos ou falhas de software raras. Bastam uma voz convincente, um número convenientemente parecido com o do ramal interno e um momento de distração da vítima.
Continue acompanhando o Portal Brasil News
- Instagram: @top_ofertas_brasil_oficial
- Site: Ver mais notícias
