Golpe por telefone custou R$ 424 mil
Um homem se passou por funcionário do setor de tecnologia de um banco. A Operação Firewall investiga a fraude, aplicada em dezembro de 2023.
MetrópolesBrasil · 3 min de leitura
O ataque começa numa conversa.
50 de 50
VishingR$ 424 milem uma transferência
Fraude financeira
Revenda de dadosR$ 7 mifaturados desde 2021
Vazamento
Venda de dados rendeu R$ 7 milhões
A plataforma cobrava mensalidade para consultar nome, CPF, endereço e até processos judiciais de qualquer cidadão. Os dados vinham de vazamentos e de falhas em sistemas públicos.
g1Brasil · 3 min de leitura
Phishing em massa50,7 miem seis meses
Fraude financeira
3 mensagens de golpe por segundo no país
O Mapa da Fraude identificou 50,7 milhões de mensagens ligadas a golpes entre janeiro e junho de 2026, além de mais de 20 mil anúncios, perfis e páginas falsas.
Folha de Alphaville · dados da Serasa ExperianBrasil · 3 min de leitura
Previsão41%dos CISOs, em chamada de áudio
Deepfake
Voz e rosto já não provam quem fala.
Pesquisa da Gartner com 297 líderes de segurança: 41% relataram ao menos um incidente de engenharia social com deepfake em chamada de áudio nos 12 meses anteriores. Em vídeo, 36%.
GartnerPesquisa global · 3 min de leitura
Insider1 pessoaantes de ir à concorrente
Vazamento
Ex-executivo do iFood sob investigação
A apuração identificou download de arquivos estratégicos pouco antes da saída do profissional, que depois informou passar a trabalhar na concorrente 99Food.
Brasil 247Brasil · 3 min de leitura
Phishing e vishing24,7 milalvo em 14 dias
Engenharia social
Falso alívio financeiro mira 9 mil empresas
Os e-mails não traziam link nem anexo: só um número de telefone. O objetivo era fazer a vítima ligar, levando a conversa para fora de qualquer monitoramento.
TecMundoBrasil · 3 min de leitura
Engenharia social4 diasde acesso ao ambiente de nuvem
Engenharia social
Engenharia social abriu a nuvem da Apollo.
A carta protocolada na procuradoria da Califórnia diz que o acesso durou de 6 a 10 de julho. A empresa não informou de quem eram os dados nem se pagou resgate.
TechCrunchEstados Unidos · 3 min de leitura
Engenharia social3 pessoasfoi tudo o que levou
Engenharia social
Levi Strauss: três pessoas, zero vulnerabilidade.
A empresa informou à SEC que invasores usaram engenharia social contra três funcionários e comprometeram seus computadores de trabalho. Nenhuma falha técnica foi explorada.
BleepingComputerEstados Unidos · 3 min de leitura
Previsão10×chamadas maliciosas contra meados de 2025
Engenharia social
No Teams, a isca ainda é o suporte de TI.
No fim do segundo trimestre de 2026, as chamadas maliciosas no Teams rodavam a quase dez vezes o patamar de meados de 2025. O tema dominante da isca continuou sendo personificação do suporte de TI.
Microsoft Security BlogTelemetria Microsoft · 4 min de leitura
Vishing5,7 mide clientes expostos
Vazamento
Falso suporte levou 5,7 milhões de cadastros.
O atacante pediu ao agente do call center que executasse ações no CRM para "fechar um chamado". As ações conectaram o sistema a uma ferramenta de extração de dados.
The RegisterAustrália · 4 min de leitura
Scattered Spider28 milem perdas e recuperação
Vazamento
28 mil da TfL resetaram a senha.
A National Crime Agency descreve o comprometimento da rede entre 31 de agosto e 3 de setembro de 2024, dados de reembolso do Oyster e £29 milhões. O aviso da condenação não descreve a técnica de entrada.
National Crime AgencyReino Unido · 4 min de leitura
Origem não divulgada1,2 micadastros confirmados
Vazamento
iFood confirma 1,2 mi e nega 43,8 mi
A empresa admitiu exposição de nome e CPF em incidente de dezembro de 2025 e disse não ter encontrado evidência que sustente o número maior, alegado em fórum criminoso.
PiranotBrasil · 3 min de leitura
Vishing4,9 micontas verificadas
Vazamento
Spectrum: 4,9 mi de contas vazadas
O Have I Been Pwned verificou 4,9 milhões de contas da Spectrum. O grupo alega 42 milhões, número que ninguém confirmou de forma independente.
BleepingComputerEstados Unidos · 3 min de leitura
Engenharia social5,9 mipessoas no aviso do Maine
Vazamento
Um funcionário da Carnival abriu o acesso.
O aviso da empresa descreve um acesso concedido em 14 de abril e arquivos copiados oito dias depois. A notificação protocolada no Maine chega a 5.995.277 pessoas.
MalwarebytesEstados Unidos · 4 min de leitura
Acesso interno2 milcontas, 0,02% da base
Fraude financeira
Kraken extorquida após acesso do suporte
A corretora diz que os sistemas não foram invadidos: o acesso era legítimo. O grupo criminoso passou a ameaçar publicar vídeos das telas internas.
BleepingComputerEstados Unidos · 3 min de leitura
Vishing900 milregistros em ~1 hora
Engenharia social
Empresa de proteção de identidade exposta
O acesso durou cerca de uma hora e começou com uma chamada fraudulenta contra um funcionário. A base atingida veio de uma ferramenta de marketing herdada de aquisição.
SecurityWeekEstados Unidos · 3 min de leitura
Vishing por Teams3ª tentativaquem cedeu o acesso
Engenharia social
Falso suporte no Teams levou à invasão
A equipe de resposta da Microsoft reconstituiu um ataque que não explorou falha de software: ligações pelo Teams se passando por suporte de TI, até alguém aceitar.
Microsoft Security Blog · fonte primáriaNão divulgado · 4 min de leitura
Insider3 TB3 TB, segundo o grupo
Vazamento
JBS: 3 TB vazados com ajuda de dentro
Ao ser perguntado como entrou, o grupo respondeu que não procurou falha nenhuma: o elo vulnerável era uma pessoa. A empresa foi procurada e não respondeu.
TecMundoBrasil · 4 min de leitura
Vishing alegado12,4 miregistros publicados
Vazamento
CarGurus: 12,4 mi de contas publicadas
O grupo diz ter obtido credenciais de login único por telefone, se passando por equipe de TI. A empresa não confirmou o vetor nem se pronunciou.
BleepingComputerEstados Unidos · 3 min de leitura
Engenharia social967 milcontas no Have I Been Pwned
Vazamento
A Figure perdeu dados de 967 mil contas.
A empresa confirmou engenharia social a um veículo. O Have I Been Pwned contabilizou 967.200 contas. O aviso aos clientes lista até número de previdência e dados do empréstimo.
BleepingComputerEstados Unidos · 4 min de leitura
Ex-funcionário33 micontas consultadas, segundo a Coupang
Vazamento
Um ex-funcionário alcançou 33 milhões de contas.
O 8-K de dezembro falava em até 33 milhões. Em fevereiro a empresa descreveu consultas automatizadas feitas por um ex-funcionário e disse que cerca de 3 mil contas foram retidas.
CoupangCoreia do Sul · 4 min de leitura
Vishing com SSO3 gruposconjuntos rastreados
Engenharia social
Portais de login falsos, guiados por telefone
A Mandiant detalhou os domínios e os kits usados: páginas que reproduzem o login único da vítima e retransmitem senha e código de autenticação em tempo real.
BleepingComputer · relatório da MandiantGlobal · 4 min de leitura
Resposta regulatóriaRes. 547altera a Resolução 498
Regulação
O Banco Central apertou as regras de provedores.
A Resolução BCB nº 547/2026 endurece o credenciamento de quem acessa a Rede do Sistema Financeiro Nacional: governança, reputação, gestão de crise e prevenção a fraude.
Agência Brasil (EBC)Brasil · 3 min de leitura
Previsão4 canaise-mail, web, telefone, colaboração
Engenharia social
O golpe já não começa só no e-mail.
O Cyber Security Report 2026 da Check Point trata a engenharia social além da caixa de entrada: e-mail, web, telefone e canais de colaboração coordenados no mesmo ataque.
Check Point ResearchRelatório global · 3 min de leitura
Previsão32%ataques de identidade no 1º semestre
Engenharia social
O atacante entra logando, não quebrando.
O Digital Defense Report 2025 registra alta de 32% nos ataques baseados em identidade no primeiro semestre. Mais de 97% ainda são tentativa de senha em massa. O relatório também aponta o roubo de credencial e de token.
MicrosoftRelatório Microsoft · 4 min de leitura
Previsão413 milpáginas geradas por IA observadas
Engenharia social
O phishing troca volume por precisão.
O ThreatLabz 2026 da Zscaler mediu centenas de milhares de sites gerados por IA e projeta que o modelo de linguagem vire o motor padrão do phishing, apagando os sinais velhos de detecção.
Zscaler ThreatLabzRelatório Zscaler · 3 min de leitura
Engenharia social22,65 mipessoas na revisão concluída
Vazamento
A Aflac deixou alguém entrar.
Em junho a Aflac disse que o acesso veio de engenharia social e foi contido em horas. Em dezembro, a revisão fechou em cerca de 22,65 milhões de pessoas.
Aflac · comunicadoEstados Unidos · 4 min de leitura
Previsão2026executivos e suporte de TI
Deepfake
A próxima ligação pode ser uma voz que não existe.
A previsão de cibersegurança do Google Cloud para 2026 descreve vishing com clonagem de voz para imitar executivos ou a equipe de TI com realismo difícil de distinguir.
Google CloudPrevisão Google Cloud · 3 min de leitura
Previsãonormavelocidade, alcance e eficácia
Engenharia social
A IA deixa de só escrever o golpe.
O mesmo forecast do Google Cloud para 2026 diz que a IA sai da exceção e vira a norma do ataque, inclusive na engenharia social manipulativa e na clonagem de voz.
Google CloudPrevisão Google Cloud · 3 min de leitura
PrevisãonormaIA deixa de ser exceção no ataque
Engenharia social
O golpe perigoso não parece um ataque.
A previsão do Google para 2026, escrita com a Mandiant, trata a IA como ferramenta normal de velocidade e escala. A engenharia social que sai dali é feita para parecer uma conversa comum.
Google Cloud · com MandiantPrevisão Google Cloud · 3 min de leitura
Insider demitido96 basesbases apagadas
Fraude financeira
96 bases apagadas por ex-funcionários
Dois engenheiros da Opexus, empresa que hospeda dados de mais de 45 agências federais americanas, apagaram bancos de dados e copiaram 1.805 arquivos para um pen drive.
Departamento de Justiça dos EUA · fonte primáriaEstados Unidos · 4 min de leitura
Aliciamento internoUS$ 1 milpor uma conversa
Engenharia social
99 apura ofertas em dinheiro a funcionários
Consultorias ofereciam de US$ 200 a US$ 1 mil por uma conversa, sob pretexto de pesquisa de mercado. A empresa relata ainda furto de notebooks de pessoas em cargos estratégicos.
O GloboBrasil · 3 min de leitura
Ex-funcionário689 milclientes da American First Finance
Vazamento
O ex-funcionário da FinWise ainda entrava.
A FinWise avisou o Maine em nome da American First Finance. O acesso indevido de um ex-funcionário ocorreu em maio de 2024. A empresa não comentou o caso, citando ações judiciais.
SecurityWeekEstados Unidos · 3 min de leitura
Aplicação de terceiro4,4 mipessoas no protocolo do Maine
Vazamento
A TransUnion perdeu 4,4 milhões num app de suporte.
A empresa descreveu acesso não autorizado a um aplicativo usado no suporte ao consumidor nos EUA. Nome, data de nascimento e Social Security constam do protocolo no Texas. A técnica de entrada não foi nomeada no aviso.
TechCrunchEstados Unidos · 4 min de leitura
Vishing24/07dia do golpe de voz
Vazamento
Na Cisco, um golpe de voz abriu o CRM.
Em 24 de julho de 2025, um atacante aplicou vishing contra um funcionário e obteve acesso a um CRM em nuvem de terceiros. O aviso é da própria empresa, fonte primária, sem intermediário.
Cisco · aviso oficial de segurançaEstados Unidos · 3 min de leitura
CRM de terceiro1,4 miclientes, a maioria atingida
Vazamento
A Allianz Life perdeu o CRM, não a rede.
O acesso foi a um CRM em nuvem de terceiro, por engenharia social, em 16 de julho. A empresa disse que a rede e o sistema de apólices não foram alcançados.
BleepingComputerEstados Unidos · 3 min de leitura
Help deskUS$ 380 mipedidos em danos
Engenharia social
Clorox cobra US$ 380 mi por falha do help desk.
Segundo o processo, os atacantes ligaram várias vezes ao suporte terceirizado se passando por funcionários e pediram reset de senha e de MFA. O atendente liberou sem verificar a identidade uma única vez.
BleepingComputerEstados Unidos · 4 min de leitura
Help desk150 GBde dados exfiltrados
Ransomware
M&S: o ransomware entrou por personificação.
O presidente do conselho da varejista descreveu uma "personificação sofisticada" de um funcionário, usada para convencer o suporte a redefinir uma senha. A credencial virou acesso inicial, e o acesso virou DragonForce.
BleepingComputerReino Unido · 3 min de leitura
Insider aliciadoR$ 541 midesviados pelo Pix
Fraude financeira
Vendeu o próprio login. Saíram R$ 541 milhões.
Não houve exploração de falha. Houve uma abordagem na saída de um bar e uma credencial legítima trocada por dinheiro vivo, o suficiente para mover centenas de milhões entre instituições financeiras.
The Record (Recorded Future News)Brasil · 4 min de leitura
Vishing0 exploitsem todos os casos vistos
Engenharia social
O grupo que invade Salesforce sem nenhum exploit.
O UNC6040 liga para funcionários se passando por suporte de TI e os convence a autorizar um aplicativo conectado malicioso digitando um código. Não há exploit. Há um telefonema.
Google Threat Intelligence GroupGlobal · 4 min de leitura
Insider subornado70 milclientes notificados
Vazamento
Na Coinbase, o vazamento começou dentro do suporte.
Uma funcionária foi flagrada fotografando a tela com o celular pessoal. Dois atendentes admitiram repassar dados de clientes em troca de pagamento, dados depois usados para golpes contra esses mesmos clientes.
BleepingComputerEstados Unidos e Índia · 4 min de leitura
Help desk1 senhao mesmo golpe da onda britânica
Engenharia social
O help desk da Co-op resetou a senha.
Fontes ouvidas pela BleepingComputer disseram que a engenharia social permitiu resetar a senha de um funcionário. A Co-op não é citada, nessa reportagem, confirmando o roteiro com a própria voz.
The IndependentReino Unido · 3 min de leitura
Credencial antiga270 milchamados publicados
Vazamento
A senha da Samsung ainda valia quatro anos depois.
A Hudson Rock rastreou o login de um funcionário da Spectos, infectado por um infostealer em 2021. A Samsung confirmou acesso indevido num sistema de parceiro e não detalhou, nos relatos citados, a origem de 2021.
SC MediaAlemanha · 4 min de leitura
Clonagem de voz€ 1 mipagos por um empresário
Deepfake
Clonaram a voz do ministro e pediram € 1 milhão.
As ligações apareciam como originadas de gabinetes do governo em Roma. Pelo menos um empresário transferiu o dinheiro antes que alguém desconfiasse da voz.
EuronewsItália · 3 min de leitura
Credencial sem MFAsem MFAna conta da contratada
Vazamento
Um login de suporte, sem MFA, abriu a PowerSchool.
A empresa disse que a conta era de uma contratada de suporte e que aquele acesso não exigia MFA. Não publicou quantos estudantes foram atingidos.
TechCrunchEstados Unidos · 4 min de leitura
Insider6.600consultas em cerca de 500 dias
Vazamento
Na Intesa, o acesso era legítimo.
A Intesa Sanpaolo disse que não houve ataque de fora. O funcionário tinha autorização para olhar dados de conta e, segundo a investigação, usou isso cerca de 6.600 vezes.
ReutersItália · 4 min de leitura
Help desk5 diasde sistemas fora do ar
Engenharia social
O help desk da MoneyGram, segundo a apuração.
A MoneyGram confirmou o ataque e disse não haver evidência de ransomware. O começo por engenharia social no help desk não é frase da empresa: é de uma fonte ouvida pela BleepingComputer.
BleepingComputerEstados Unidos · 3 min de leitura
Transferência induzidaUS$ 60 mise nada mais for recuperado
Fraude financeira
A Orion perdeu US$ 60 milhões num golpe.
A Orion contou à SEC que um empregado não executivo foi alvo de um esquema com várias transferências fraudulentas. O veículo classifica o caso como comprometimento de e-mail empresarial; o arquivo não descreve o canal.
The RecordLuxemburgo · 3 min de leitura
Videochamada falsaHK$ 200 miem 15 transferências
Deepfake
Na Arup, a chamada inteira era falsa.
A Arup confirmou que vozes e imagens falsas foram usadas em Hong Kong. A polícia descreveu 15 transferências. Os sistemas internos da empresa não foram comprometidos.
The GuardianHong Kong · 3 min de leitura
Phishing no fornecedor1 planilhaenviada ao atacante
Engenharia social
O contador da Framework caiu no e-mail.
O e-mail se passou pelo CEO e pediu a planilha de contas a receber. Quem respondeu não era da Framework: era do escritório que cuida da contabilidade dela.
TechCrunchEstados Unidos · 3 min de leitura
Firewall, EDR e MFA não veem o pedido feito à pessoa certa.
O ataque chega por fora da ferramenta. Teste o procedimento antes que alguém teste por você.