Hackers usam ligações falsas para atacar gigantes financeiras nos EUA; Google detalha operação milionária
Grupos especializados em crimes cibernéticos estão atacando grandes empresas do setor financeiro norte-americano por meio de ligações telefônicas fraudulentas, técnica conhecida como vishing. De acordo com pesquisadores de segurança do Google, a estratégia tem como objetivo obter credenciais de acesso, roubar dados corporativos e, em seguida, pressionar as vítimas com ameaças de vazamento caso pagamentos de resgate não sejam realizados. O relatório foi divulgado nesta quinta-feira (06) e atribuído a quatro grupos identificados como Falcon, Helix, Pink e Redact, que podem operar dentro de uma estrutura maior rastreada pelo codinome UNC6671.
Segundo o portal Olhardigital.com.br, os ataques miram principalmente organizações ligadas a investimentos e finanças, incluindo gestoras de private equity — fundos que administram capital de grandes investidores. O valor financeiro envolvido nas operações é estimado na casa dos milhões de dólares, considerando o porte das vítimas e o tipo de informação negociada.
O que é vishing e como a técnica é aplicada nesses ataques?
Vishing é a junção das palavras inglesas voice (voz) e phishing — uma variação do golpe clássico de phishing que, em vez de usar e-mails, se apoia em ligações telefônicas. Enquanto campanhas tradicionais de phishing chegam por mensagem de texto ou e-mail com links falsos, o vishing explora diretamente o contato humano, aproveitando-se da autoridade percebida de quem está do outro lado da linha.
No caso descrito pelos pesquisadores do Google, os criminosos ligam para funcionários em seus celulares pessoais e se passam por colegas de trabalho ou integrantes da equipe de tecnologia da própria empresa. A abordagem é cuidadosamente construída: o invasor demonstra conhecer rotinas internas, cita nomes de projetos e utiliza uma linguagem técnica compatível com a função da vítima.
Durante a conversa, o objetivo é convencer o funcionário a digitar credenciais de acesso e códigos de autenticação em páginas falsas — réplicas quase idênticas de portais corporativos legítimos, como sistemas de login corporativo, VPNs ou painéis de autenticação multifator. Com esses dados em mãos, os atacantes conseguem se passar pelo usuário dentro da rede da empresa.
Quem são os grupos Falcon, Helix, Pink e Redact?
Os quatro agrupamentos identificados fazem parte de uma campanha coordenada que, segundo o Google, pode estar conectada a uma estrutura ainda maior conhecida como UNC6671. A sigla "UNC" segue a convenção da Microsoft usada para designar clusters de atividades cibernéticas ainda não associadas publicamente a um grupo nomeado — diferente de APT28, Lazarus ou FIN7, que já têm identidade amplamente reconhecida.
Ainda não está claro, de acordo com os pesquisadores, se Falcon, Helix, Pink e Redact atuam como:
- Parceiros de uma mesma operação criminosa;
- Divisões independentes que compartilham apenas infraestrutura técnica;
- Usuários simultâneos de ferramentas e serviços vendidos na dark web.
O que une os quatro grupos é o modus operandi: uso de vishing, foco em alvos corporativos e posterior etapa de extorsão. A reportagem original destaca que essa padronização sugere, no mínimo, a existência de um ecossistema compartilhado de ferramentas ou mesmo de treinamento entre os operadores.
Por que empresas de finanças e private equity são os alvos principais?
O setor financeiro é historicamente um dos mais visados por cibercriminosos, por motivos que vão além do dinheiro em conta. Empresas de private equity e gestoras de investimento concentram informações estratégicas sobre fusões, aquisições, carteiras de clientes e movimentações de grandes volumes de capital — dados que têm valor de mercado mesmo sem envolver diretamente contas bancárias.
De acordo com relatórios anuais de gigantes da cibersegurança, como IBM, Mandiant e Palo Alto Networks, o setor financeiro aparece consistentemente entre os três mais atacados do mundo. Entre os fatores que explicam essa preferência estão:
- Alto poder financeiro das vítimas, o que aumenta a capacidade de pagamento de resgates;
- Informação sensível que pode ser usada em negociações ou vendida a concorrentes;
- Pressão regulatória — empresas desse setor são obrigadas a comunicar incidentes rapidamente, o que torna o sigilo ainda mais valioso para os atacantes;
- Cadeia de fornecedores ampla, com muitos parceiros terceirizados que podem servir como porta de entrada.
No esquema descrito pelo Google, os dados roubados servem como instrumento de pressão em pedidos de extorsão bilionários — não apenas para receber dinheiro, mas para ganhar vantagem em negociações e desestabilizar a operação da empresa concorrente.
O que acontece depois que os hackers conseguem acesso?
A etapa seguinte ao roubo de credenciais é a chamada fase de extorsão. Segundo o relatório do Google, alguns dos grupos envolvidos mantêm sites próprios na internet nos quais anunciam publicamente quais empresas foram invadidas. Nessas páginas, exibem amostras de dados roubados e estabelecem prazos para que as exigências sejam atendidas — sob ameaça de publicar o restante dos arquivos caso o pagamento não ocorra.
Esse modelo é inspirado em operações como as do grupo LockBit, que entre 2022 e 2024 operou um dos maiores esquemas de ransomware com sites de vazamento na chamada dark web. A diferença é que, no caso descrito pelo Google, a invasão inicial é feita por telefone, e não por e-mail ou exploração direta de vulnerabilidades em sistemas.
A combinação vishing + extorsão pública representa uma escalada importante porque encurta o tempo de resposta das vítimas. Não basta à empresa apenas revogar acessos: os dados já estão fora do perímetro e podem ser divulgados a qualquer momento.
Como empresas e funcionários podem se proteger do vishing?
Apesar de a técnica explorar o contato humano, há medidas relativamente simples que reduzem bastante o risco de uma invasão bem-sucedida. Especialistas em cibersegurança costumam recomendar:
- Verificação por canal independente: ao receber uma ligação de alguém se passando por colega ou TI, desligar e retornar pelo número oficial da empresa;
- Treinamentos periódicos de simulação de phishing e vishing para toda a equipe, não apenas para o time de TI;
- Autenticação multifator (MFA) robusta, preferencialmente com chaves físicas ou aplicativos autenticadores — e nunca com códigos enviados por SMS como única camada;
- Princípio do menor privilégio: limitar o acesso de cada funcionário apenas ao necessário para sua função;
- Monitoramento de logins fora do padrão, com alertas automáticos para acessos em horários ou locais incomuns.
No caso brasileiro, embora as vítimas citadas no relatório do Google sejam empresas norte-americanas, o método é globalmente replicável. Companhias financeiras e escritórios de representação de fundos estrangeiros instalados no Brasil já registraram tentativas semelhantes, segundo alertas emitidos nos últimos anos pelo Centro de Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) e pela Associação Brasileira de Bancos (ABBC).
O que esse caso mostra sobre o futuro dos ataques cibernéticos?
A tendência apontada por analistas do setor é de crescimento do vishing corporativo nos próximos anos, justamente porque ele dribla boa parte dos filtros tecnológicos. Firewalls, antivírus e sistemas de detecção de intrusão não bloqueiam uma ligação telefônica convencional.
O relatório do Google também reforça uma mudança importante na lógica dos ataques: o foco migrou de "quebrar sistemas" para "enganar pessoas". Essa mudança exige que as empresas tratem o fator humano como parte central da estratégia de segurança, e não apenas como um detalhe a ser coberto por treinamentos obrigatórios.
Para os usuários comuns, o caso serve como lembrete de que nenhum dado deve ser fornecido por telefone sem verificação prévia — independentemente de quem pareça estar do outro lado da linha.
Perguntas frequentes
O que é vishing?
Vishing é uma técnica de fraude em que o criminoso utiliza ligações telefônicas para se passar por alguém de confiança e obter dados sensíveis, como senhas, códigos de autenticação ou informações bancárias.
Qual a diferença entre vishing e phishing?
O phishing acontece principalmente por e-mail, SMS ou redes sociais, com links falsos e páginas fraudulentas. O vishing usa ligações telefônicas e manipulação direta por voz para enganar a vítima.
Por que empresas financeiras são alvo frequente desse tipo de ataque?
Porque concentram grandes volumes de capital e informações estratégicas de alto valor, o que aumenta o poder de negociação dos criminosos em pedidos de extorsão.
O que fazer ao receber uma ligação suspeita pedindo dados de acesso?
Desligar, identificar o número oficial da empresa por outro canal e retornar a ligação para confirmar a identidade do solicitante antes de qualquer ação.
Esses ataques podem atingir empresas brasileiras?
Sim. Embora o relatório do Google cite vítimas nos Estados Unidos, a técnica é replicável globalmente e já foi registrada em tentativas contra instituições financeiras no Brasil, segundo alertas de órgãos do setor.
Gostou desta matéria? Compartilhe com quem precisa ficar bem informado e assine a newsletter do GCBS NEWS para receber as principais notícias direto no seu e-mail.
