Segurança · matéria IAlfabeto
Golpes usam falsos eventos de IA para roubar contas
Criminosos criam páginas falsas de conferências de tecnologia para atrair funcionários e capturar acessos corporativos.
Cibercriminosos estão utilizando convites falsos para eventos de empresas de tecnologia conhecidas, como OpenAI, SpaceX e Anthropic, para enganar trabalhadores. O objetivo é atrair funcionários para páginas fraudulentas e roubar credenciais e sessões de autenticação de contas corporativas da Microsoft e do Google. A descoberta foi divulgada por pesquisadores de segurança cibernética em outubro de 2026.
Para dar uma aparência legítima, os golpistas promovem falsas conferências e oferecem brindes atraentes, como meses de uso gratuito de serviços avançados de inteligência artificial ou ações empresariais. Entre os temas anunciados estão treinamentos de marketing com inteligência artificial e encontros espaciais privados. As páginas falsas costumam utilizar barreiras de verificação humana para evitar a análise automática por sistemas de segurança de empresas.
As armadilhas empregam serviços especializados de golpes comercializados na internet, conhecidos como plataformas de phishing como serviço (phishing-as-a-service). Essas ferramentas permitem que criminosos sem conhecimento técnico avançado montem ataques sofisticados. A campanha utiliza infraestruturas compartilhadas e páginas de registro falsas que imitam sistemas oficiais.
Como funcionam as abordagens
O golpe começa quando o alvo clica em um link de convite distribuído por redes sociais, encurtadores de endereços de internet ou sistemas de reuniões online. Ao acessar a página falsa do evento, o visitante encontra botões para entrar utilizando contas corporativas de grandes fornecedores. Essa etapa é o ponto crítico onde o acesso começa a ser comprometido.
No caso de tentativas direcionadas a contas da Microsoft, o sistema fraudulento utiliza uma técnica ligada a códigos de autenticação de dispositivos. A vítima recebe uma instrução para copiar um código e inseri-lo em uma página oficial de login. Sem perceber, o usuário autoriza o acesso do invasor, que consegue tokens de segurança sem precisar roubar a senha diretamente.
Para contas do Google, a abordagem utiliza uma estratégia de intermediário mal-intencionado, que atua como um espelho entre o navegador da vítima e a página real de login. Esse método captura tanto a senha quanto os códigos de confirmação em duas etapas e os biscoitos de sessão (session cookies). Dessa forma, os invasores conseguem burlar barreiras comuns de proteção digital.
Histórico e prevenções
Campanhas semelhantes já haviam sido identificadas anteriormente por outras empresas de análise de ameaças digitais. Em julho, criminosos abusaram de recursos legítimos de plataformas de videoconferência para promover eventos falsos de inteligência artificial. O uso de serviços legítimos de empresas conhecidas dificulta a detecção precoce por parte das equipes de segurança.
Especialistas em segurança recomendam cautela redobrada ao receber convites para eventos que exigem login corporativo em troca de brindes ou testes gratuitos. Organizações devem restringir o uso de códigos de autenticação de dispositivos quando não forem necessários. A adoção de chaves de segurança físicas baseadas em padrões avançados de hardware ajuda a impedir o roubo de sessões ativas.
Entenda
Por que isso importa
O roubo de contas corporativas coloca em risco não apenas dados internos das empresas, mas também sistemas conectados de parceiros e clientes. Quando criminosos obtêm acesso a plataformas de trabalho na nuvem, eles podem extrair informações confidenciais, realizar espionagem industrial ou aplicar golpes financeiros utilizando a identidade da vítima. Campanhas baseadas em falsos eventos exploram a curiosidade e o interesse profissional por novas tecnologias, transformando uma oportunidade aparente em uma brecha de segurança grave para negócios de todos os portes.
na sua empresa
- Sua equipe de atendimento ou marketing pode receber convites para treinamentos gratuitos de inteligência artificial e acabar inserindo dados corporativos em páginas falsas.
- Funcionários administrativos que utilizam ferramentas na nuvem podem ter suas sessões de trabalho interceptadas, permitindo que invasores acessem documentos financeiros e planilhas da empresa.
- O uso descuidado de credenciais de e-mail corporativo em plataformas desconhecidas pode comprometer a segurança de todo o sistema de comunicação do negócio.
termos explicados
- phishing
- Fraude digital que utiliza mensagens e páginas falsas para enganar pessoas e roubar senhas ou dados pessoais.
- tokens de autenticação (authentication tokens)
- Chaves digitais fornecidas por um sistema após o login que provam que o usuário está autorizado a acessar determinados recursos.
- autenticação em duas etapas (multifactor authentication)
- Camada extra de segurança que exige uma confirmação adicional além da senha, como um código enviado por aplicativo.
- biscoitos de sessão (session cookies)
- Pequenos arquivos salvos pelo navegador que mantêm o usuário conectado a um site sem precisar digitar a senha repetidamente.
o que fazer agora
- Desconfie de convites para eventos de tecnologia que exijam login com contas corporativas para liberar brindes.
- Evite digitar códigos de autenticação de dispositivos fornecidos por sites desconhecidos ou links recebidos por redes sociais.
- Adote chaves de segurança físicas ou métodos de autenticação resistentes a fraudes sempre que disponíveis.
- Oriente funcionários a verificar sempre os endereços oficiais dos sites antes de inserir credenciais de trabalho.
Cuidados
Ainda não está totalmente claro como os criminosos distribuem inicialmente todos os links maliciosos para as vítimas, embora utilizem serviços legítimos de encurtamento de endereços e plataformas de eventos para espalhar as armadilhas.
Quer ler a reportagem original, em inglês, direto na fonte?
Matéria escrita com apoio de IA, sob responsabilidade editorial de Rodolfo Scheffer, a partir da reportagem citada, que é a fonte dos fatos. Viu um erro? Confira a fonte original e nos avise.
🔒 extras pra quem tem conta grátis