Campanha de phishing mira instituições globais com falsos e-mails de compras

06/08/2026 mindsecblog Notícias 0

A Infoblox Threat Intel revela uma operação que explora fluxos de trabalho corporativos confiáveis, sites comprometidos e portais falsos de documentos para obter acesso a ambientes organizacionais de alto valor.

A Infoblox Threat Intel identificou uma sofisticada campanha global de phishing do tipo adversary-in-the-middle (AiTM), direcionada a universidades, empresas e instituições multinacionais, incluindo agências da União Europeia e das Nações Unidas. A operação utiliza falsos e-mails relacionados a processos de compras, enviados a partir de contas organizacionais comprometidas, para interceptar credenciais e tokens de sessões autenticadas em tempo real, inclusive em acessos protegidos por autenticação multifator.

Um dos aspectos mais relevantes do ataque é o uso de e-mails relacionados a processos de compras, enviados a partir de contas organizacionais previamente comprometidas, o que aumenta a credibilidade das mensagens. Depois que o destinatário clica no link, a infraestrutura de adversary-in-the-middle intercepta, em tempo real, credenciais e tokens de sessões autenticadas, inclusive aqueles protegidos por autenticação multifator. Com isso, os invasores conseguem contornar muitos dos controles utilizados pelas organizações para proteger identidades e acessos.

Para o destinatário, o ataque pode parecer uma atividade comum da rotina de trabalho, como um convite para participar de uma concorrência, o compartilhamento de um arquivo de projeto ou uma solicitação de informações. Prazos falsos e avisos de confidencialidade criam um senso de urgência, enquanto telas aparentemente familiares fazem a vítima acreditar que está acessando um documento ou realizando login normalmente. Nos bastidores, porém, o invasor explora esse processo confiável para obter acesso à conta e à rede da organização.

O agente parece alternar entre diferentes kits de phishing como serviço, incluindo EvilProxy, FlowerStorm e Kali365, além de utilizar sites comprometidos, muitas vezes inativos, para hospedar páginas falsas de download praticamente idênticas. Esses sites podem transmitir mais confiança do que domínios maliciosos recém-criados, mas os padrões utilizados, as convenções de subdomínios e o reaproveitamento da infraestrutura ainda podem revelar a campanha às equipes de defesa.

“Esses agentes exploram a confiança nos processos organizacionais, como os de compras, para convencer as pessoas a entregar suas credenciais”, afirmou a Dra. Renée Burton, vice-presidente da Infoblox Threat Intel. “Esse não é o tipo de cenário de phishing sobre o qual as pessoas costumam ser alertadas em treinamentos de segurança.”

As descobertas reforçam a necessidade de as organizações combinarem a conscientização dos usuários e os controles de identidade com visibilidade antecipada sobre a infraestrutura utilizada em operações de phishing. A inteligência de ameaças baseada em DNS pode ajudar as equipes de segurança a identificar padrões de campanhas em estágios anteriores, antes que os usuários acessem páginas fraudulentas ou que os invasores obtenham acesso a sessões autenticadas.

Para saber mais, leia a pesquisa completa: infoblox

Clique e fale com representante oficial Netwrix Endpoint Protector