O que os autores das chamadas fizeram na realidade

A própria equipa de informações sobre ameaças da Google identificou uma campanha de vishing conduzida por quatro grupos relacionados que segue sob os nomes Falcon, Helix, Pink e Redact, que segundo a avaliação da Google poderão operar sob um único coletivo denominado UNC6671. A TechCrunch noticiou as conclusões a 6 de agosto de 2026.

O método era, na sua essência, direto e pouco sofisticado: os atacantes ligavam aos colaboradores para os telemóveis pessoais, e não para a linha profissional, fazendo-se passar por um colega ou por um membro da equipa interna de suporte informático. As vítimas eram conduzidas a um sítio construído para imitar de forma muito fiel o verdadeiro portal de acesso da sua entidade empregadora, onde introduziam o nome de utilizador, a palavra-passe e o código da respetiva aplicação MFA.

É este último passo que importa. O sítio falso retransmitia as credenciais e o código MFA para o atacante em tempo real, permitindo-lhe autenticar-se no sistema real dentro da mesma janela em que o código ainda era válido - uma técnica conhecida como retransmissão de MFA em tempo real, ou phishing-in-the-middle. A campanha decorreu ao longo dos primeiros meses de 2026. Nesse período, as carteiras associadas aos grupos receberam cerca de 10 milhões de dólares em bitcoin, e a cada compromisso seguia-se habitualmente uma exigência de extorsão entre 750.000 e 3 milhões de dólares.

Porquê private equity e não um retalhista com uma base de dados

As organizações referidas na notícia são a Apollo Global Management, a Bain Capital, a Blackstone, a Bridgewater Associates, o CME Group, a KKR, a Moody's e a TPG. Não se trata de uma amostra aleatória de grandes empresas, mas de uma lista de importantes empresas financeiras e de private equity dos Estados Unidos, escolhidas segundo uma lógica que vale a pena explicitar.

A maior parte da cobertura sobre violações de dados parte do princípio de que os atacantes procuram volume: uma base de dados com milhões de registos de clientes para vender ou usar em extorsão. As empresas de private equity e de gestão de ativos possuem comparativamente pouco disso. O que possuem, em vez disso, é autoridade concentrada - um número reduzido de colaboradores, muitas vezes um punhado por empresa, capazes de aprovar uma transferência, corroborar uma transação ou movimentar uma soma significativa sem uma segunda assinatura. Essa concentração era o verdadeiro alvo dos atacantes.

Trata-se de uma lógica de seleção de alvos diferente da que a maior parte da cobertura de segurança pressupõe, e explica porque uma chamada telefónica, e não um email de phishing enviado para milhares de caixas de entrada, era a ferramenta certa. Não é preciso comprometer uma base de dados quando comprometer três ou quatro pessoas específicas produz o mesmo resultado mais depressa e com menos ruído.

Porque é que a chamada vence toda a vossa infraestrutura de segurança

A autenticação multifator, o single sign-on, a deteção nos postos de trabalho e a filtragem de email estão todos concebidos para se interporem entre um ficheiro malicioso, uma ligação ou uma tentativa de acesso e os vossos sistemas. Nenhum deles se interpõe entre uma pessoa e uma chamada telefónica. Uma chamada que se faz passar por um colega ou pelo suporte informático não toca de todo nessa infraestrutura - vai diretamente ao único componente que nenhuma atualização de software consegue corrigir: uma pessoa sob ligeira pressão a tentar ser prestável.

Isto explica também porque o código MFA roubado em tempo real pesou mais do que a palavra-passe. Uma palavra-passe roubada por si só é muitas vezes inútil contra um MFA bem configurado. Uma palavra-passe e um código MFA em tempo real retransmitidos ao atacante dentro da mesma sessão anulam, pelo contrário, essa proteção por completo, porque, do ponto de vista do sistema, o acesso parece exatamente igual ao do colaborador real a entrar com o seu próprio segundo fator, apenas com segundos de diferença.

A solução é um protocolo, não um produto

Não existe nenhum produto para comprar que feche esta lacuna, porque a lacuna não é técnica. Qualquer organização em que um número reduzido de pessoas possa aprovar grandes transações financeiras - o que descreve a maioria das funções de private equity, gestão de ativos e tesouraria, mas também muitas empresas médias comuns - deveria estabelecer e efetivamente treinar um protocolo de verificação fora de banda para qualquer chamada inesperada do departamento de informática ou de um colega a pedir uma credencial, um código MFA ou uma ação urgente.

O protocolo em si é simples: desligar e voltar a ligar para um número interno conhecido que a própria pessoa tenha procurado, e não um fornecido durante a chamada. Nunca voltar a introduzir uma palavra-passe ou um código MFA numa ligação recebida durante uma chamada, por mais convincente que o sítio pareça. Tratar a própria urgência como o sinal de alerta - o suporte informático genuíno raramente precisa de uma credencial lida em voz alta nos dois minutos seguintes.

A lição vai muito além do setor financeiro. Qualquer empresa na UE ou no Reino Unido com um número reduzido de pessoas de elevada autoridade - aprovadores financeiros, administradores de sistemas, gestores com poderes para ordenar transferências - encaixa no mesmo perfil de alvo de que os atacantes partiram. Na UE, as empresas já sujeitas ao DORA ou às obrigações de notificação de incidentes previstas na NIS2 deveriam tratar um compromisso de vishing bem-sucedido exatamente como o tipo de incidente que esses regimes esperam que detetem e comuniquem.

Leia a seguir: Nenhum humano escolheu o exploit, CISA dá 2 dias  |  Rode cada chave de CI usada a 4 de agosto