Como manter a segurança online durante as festas de fim de ano

Mulher de suéter cinza sentada à mesa olhando para o celular.

O que os defensores precisam saber

Os criminosos cibernéticos aproveitam boas oportunidades para explorar as pessoas. Isso fica ainda mais fácil quando as pessoas estão distraídas com as festas de fim de ano. Entre compras, momentos com a família, resfriados incômodos se espalhando e o contato com entes queridos pela internet, as pessoas se tornam alvos fáceis para atores de ameaças.

Infelizmente, o aumento das atividades legítimas ajuda os atores de ameaças a se esconderem. Os dados das Informações sobre ameaças da Microsoft mostram que os invasores programam suas campanhas para coincidir com períodos em que as pessoas estão distraídas, com pressa e mais propensas a confiar em emails de varejistas ou serviços de entrega.

Esses padrões sazonais aparecem de forma padronizada na telemetria da Microsoft e no Relatório de Defesa Digital da Microsoft (MDDR) de 2025, que destaca como os ataques de engenharia social e usurpação de identidade habilitados por IA aumentam em volume e taxa de sucesso durante períodos com muitas transações.

Veja o que os defensores e os usuários comuns devem observar com a chegada das festas de fim de ano.

Phishing por código de dispositivo

Na correria das festas de fim de ano, quando confirmações de pedidos, informações de entrega, verificações de identidade e alertas de fraude realmente disparam, os atores de ameaças aproveitam essa agitação. Eles enviam mensagens solicitando que os usuários insiram um "código de verificação" para corrigir um problema com uma compra ou confirmar uma entrega. O pretexto parece familiar e urgente, o que reduz a desconfiança. No entanto, ao informar esse código, o usuário pode conceder aos invasores acesso OAuth à conta sem que eles precisem da senha.

As Informações sobre ameaças da Microsoft vem registrando um aumento constante dessas técnicas de invasão de contas sem credenciais em ambientes de consumidores e empresas. Os invasores usam códigos de dispositivo e phishing baseado em consentimento porque essas técnicas são simples, escalonáveis e altamente eficazes para contornar controles tradicionais contra roubo de credenciais. Nos períodos de pico nas compras, essas iscas se misturam facilmente às comunicações legítimas, dificultando a detecção e aumentando a probabilidade de comprometimento.

Como mitigar o phishing por código de dispositivo

Restrinja o fluxo de código de dispositivo sempre que possível
Torne o processo de entrada mais claro e reforce a verificação dos usuários
Revogue o acesso assim que detectar uma atividade suspeita
Use políticas de risco de entrada para automatizar a contenção
Monitore continuamente as entradas arriscadas

Ataques de CAPTCHA falso (golpes ClickFix)

Promoções de viagens de fim de ano, ofertas relâmpago e a busca por presentes de última hora criam condições ideais para que os invasores se escondam à vista de todos. Ataques de redirecionamento que imitam confirmações de reservas ou emails promocionais costumam levar as vítimas a uma página de CAPTCHA, um padrão no qual os usuários confiam e raramente questionam. No entanto, esses CAPTCHAs não são reais. Hoje, os atores de ameaças usam esse recurso como mecanismo de entrega de instruções de engenharia social, induzindo as vítimas a colar comandos maliciosos diretamente na caixa Executar do Windows ou em terminais.

Recentemente, a equipe de Informações sobre ameaças da Microsoft alertou sobre o rápido crescimento dos golpes ClickFix. Eles não exigem uma cadeia de exploração, apenas uma ação do usuário. Por serem simples, esses ataques podem ser aplicados em grande escala e se tornam mais perigosos nos picos sazonais, quando os consumidores estão com pressa e tendem a seguir instruções que parecem comuns.

Por exemplo, pouco antes do Dia de Ação de Graças, a equipe de Informações sobre ameaças da Microsoft detectou e bloqueou uma campanha de phishing em grande escala do Storm-0900, direcionada a dezenas de milhares de usuários nos Estados Unidos. O ator da ameaça programou a operação para ocorrer em um feriado, quando as pessoas estavam distraídas e esperavam receber mensagens urgentes.

Os emails usavam iscas familiares, como multas de estacionamento, resultados médicos e referências ao Dia de Ação de Graças. Cada mensagem redirecionava as vítimas para um site controlado pelo invasor, com um CAPTCHA deslizante falso seguido de uma solicitação ClickFix.

A Microsoft interrompeu a campanha usando filtros, proteção de pontos de extremidade e o bloqueio antecipado da infraestrutura usada pelos invasores. No entanto, a campanha é um exemplo claro de como atores de ameaças combinam padrões confiáveis de experiência do usuário, como CAPTCHAs, com técnicas que dependem da execução pelo usuário para contornar controles tradicionais.

Como mitigar ataques de CAPTCHA falso e ClickFix

Aplique o controle de aplicativos e restrinja os caminhos de execução de comandos
Desabilite ou restrinja rigorosamente interfaces de linha de comando desnecessárias
Reforce as políticas de filtragem de navegadores e URLs
Fortaleça a capacidade dos usuários de avaliar ações inesperadas
Monitore padrões incomuns de execução de comandos
Configure as contas seguindo o princípio do privilégio mínimo

Golpes de usurpação de identidade de suporte técnico

Durante viagens, as pessoas costumam usar dispositivos pessoais menos protegidos, conectar-se ao Wi-Fi de hotéis e enfrentar mais dificuldades técnicas. Os invasores exploram essa situação fingindo ser profissionais de suporte para resolver problemas inexistentes. Esses golpes crescem todos os anos entre novembro e janeiro e costumam atingir principalmente idosos e usuários com menos familiaridade com tecnologia.

O MDDR de 2025 aponta os golpes de suporte como uma das formas de fraude mais eficazes em todo o mundo. Mais especificamente, a extorsão e o ransomware são responsáveis por metade de todos os ataques cibernéticos.

Os atores de ameaças recorrem cada vez mais a roteiros gerados por IA, vozes telefônicas realistas e usurpação da identidade de marcas para aumentar a credibilidade. O resultado é um pretexto convincente que pode levar à instalação de malware de acesso remoto, ao roubo de credenciais ou à invasão completa da conta.

Para defensores e executivos, esses golpes são bastante preocupantes porque confundem os riscos pessoais e corporativos: um dispositivo pessoal comprometido no Wi-Fi de um hotel pode rapidamente se tornar um ponto de partida para ataques mais amplos.

Como mitigar golpes de usurpação de identidade de suporte técnico

Reduza a superfície de ataque com controles rigorosos de acesso remoto
Reforce a cultura de verificação em toda a organização
Treine os usuários para desconfiar de urgência e ofertas de assistência
Fortaleça a segurança dos dispositivos usados durante viagens
Bloqueie domínios que imitam endereços legítimos e sites falsos
Monitore o uso indevido de ferramentas de acesso remoto e padrões incomuns no suporte técnico
Disponibilize canais claros e rápidos para denúncias

Notificações falsas de envio e entrega

As compras de fim de ano transformam todos em máquinas de rastrear encomendas. Os atores de ameaças se inserem nesse fluxo mental. Com muitas pessoas acompanhando dezenas de entregas, mais um email informando um atraso ou solicitando a confirmação do endereço não desperta suspeitas.

Segundo o Relatório de Defesa Digital, o phishing com tema de entregas é uma das categorias de usurpação de identidade mais exploradas. A equipe das Informações sobre ameaças da Microsoft observa aumentos previsíveis dessas iscas relacionadas à logística em todas as festas de fim de ano, com invasores se passando por transportadoras conhecidas, como UPS, USPS, FedEx, Amazon, DHL e serviços postais regionais. A identidade visual é convincente, o momento faz sentido e as expectativas dos usuários durante as semanas de maior movimento nas compras tornam esses ataques muito eficazes.

Como essas campanhas imitam fluxos legítimos de transações e frequentemente incorporam números reais de rastreamento obtidos em vazamentos de dados ou coletados de caixas de entrada, está cada vez mais difícil para os usuários diferenciá-las de notificações autênticas.

Como mitigar golpes de notificações falsas de envio e entrega

Reforce proteções de URL e domínio que neutralizem tentativas de usurpação de identidade
Fortaleça os comportamentos de verificação dos usuários durante períodos de pico nas compras
Aplique etapas adicionais do Acesso Condicional a ações financeiras confidenciais
Adicione detecção comportamental para a criação de regras de email e anomalias de encaminhamento
Implante políticas de proteção contra usurpação de identidade e autenticação de remetentes

Golpes de caridade e doação

As doações aumentam no último trimestre do ano, principalmente durante a Giving Tuesday, e os invasores aproveitam esse movimento. Com a IA, os atores de ameaças podem criar, em grande escala, sites profissionais de instituições beneficentes, histórias emocionantes e formulários de doação convincentes. Eles criam histórias urgentes e emocionantes sobre ajuda em desastres, campanhas comunitárias ou ações de última hora para as festas, buscando combinar boa vontade com distração e pressão.

Como mitigar golpes de caridade e doação

Reforce a cultura de verificação, principalmente em épocas com mais doações
Promova o uso de plataformas de doação verificadas
Bloqueie e monitore domínios que imitam sites legítimos ou foram registrados recentemente
Aplique controles de identidade resistentes a phishing e detecção de anomalias
Oriente funcionários e stakeholders sobre a evolução dos golpes

Aproveite as festas, mas sem baixar a guarda

A segurança não precisa acabar com a alegria das festas, mas é essencial manter a atenção em períodos de muita correria e distração. As orientações da Microsoft no Kit Seja Ciberinteligente [Be Cybersmart Kit] reforçam a mesma ideia: parar por um instante, verificar as informações ou olhar novamente costuma ser a diferença entre permanecer em segurança e se tornar uma vítima.