Os cibercriminosos continuam a desenvolver seus arsenais de phishing por e-mail, revivendo táticas legadas e recorrendo a evasões avançadas para escapar de filtros automatizados e do escrutínio humano.
Em 2025, os invasores estão observado abordagens testadas e comprovadas, como anexos protegidos por senha e convites de calendário, com novidades, como códigos QR, cadeias de verificação em vários estágios e integrações de API ao vivo.
Esses refinamentos não apenas prolongam o ciclo de vida do ataque, mas também exploram lacunas nas ferramentas de verificação e na confiança dos usuários em medidas de segurança aparentemente legítimas.
E-mails de phishing com anexos em PDF continuam sendo um elemento básico de campanhas em massa e direcionadas.
Em vez de incorporar links clicáveis diretamente, os agentes de ameaças agora preferem códigos QR em PDFs. Os destinatários escaneiam códigos em seus dispositivos móveis, que muitas vezes não possuem os mesmos controles de segurança de nível empresarial que as estações de trabalho.
Essa tática ressuscita a tendência anterior de incluir códigos QR nos corpos dos e-mails, mas vai além, protegendo URLs de phishing por trás de uma camada extra de manipulação de arquivos.
Os invasores também estão adotando PDFs protegidos por senha para impedir ainda mais a verificação automatizada. A senha pode chegar no mesmo e-mail ou em uma mensagem separada, imitando comunicações genuínas e seguras.
Os usuários levados a acreditar que estão lidando com documentos confidenciais tendem a confiar nesses e-mails, concedendo inadvertidamente aos invasores tempo para coletar credenciais ou implantar malware antes que as equipes de segurança possam inspecionar o conteúdo.
Táticas de calendário antigas
Métodos de phishing há muito adormecidos estão voltando. Phishing baseado em calendário – outrora popular entre os alvos de spammers em massa Google Agenda usuários – ressurgiu com foco em campanhas B2B.
Um e-mail em branco traz um convite de calendário contendo links maliciosos em sua descrição. Quando funcionários de escritório desavisados aceitam o evento, os lembretes do aplicativo de calendário solicitam que eles cliquem nos links dias depois, aumentando a probabilidade de comprometimento mesmo quando o e-mail original é ignorado.
Além das inovações de entrega, os próprios sites de phishing estão passando por atualizações sofisticadas. Campanhas simples de “mensagens de voz” conduzem as vítimas através de um CAPTCHA cadeia de verificação fechada antes de apresentar um formulário de login falso.
Essa abordagem em camadas elimina verificações de segurança automatizadas que podem sinalizar uma página de phishing estática. Ao encadear páginas e exigir ações humanas repetidas, os invasores garantem que apenas usuários genuínos acessem a interface de coleta de credenciais.
Métodos sofisticados de desvio de MFA
Autenticação multifator (MFA) há muito tempo é um baluarte contra ataques somente de senha, mas os phishers adotaram técnicas de proxy ao vivo para roubar códigos únicos. Numa campanha recente, e-mails que se fazem passar por um fornecedor de armazenamento na nuvem convidam os utilizadores a avaliar a qualidade do serviço.
Os links redirecionam para um domínio semelhante que faz proxy de todas as interações para o serviço real por meio de chamadas de API. Quando os destinatários inserem seus endereços de e-mail, o site os valida no banco de dados de usuários genuínos e, em seguida, solicita uma OTP, que é encaminhada em tempo real para a infraestrutura do invasor.
Depois que a vítima insere o código – acreditando que está interagindo com o serviço legítimo – os phishers obtêm a senha e o segundo fator gerado dinamicamente, garantindo-lhes acesso total à conta.
Essa imitação de alta fidelidade geralmente inclui pastas padrão ou elementos familiares da interface do usuário, ampliando a ilusão de legitimidade e atrasando a suspeita do usuário. Ao retransmitir cada entrada por meio do serviço real, os invasores contornam as verificações de URL e as ferramentas de defesa baseadas em domínio, tornando os filtros de e-mail convencionais amplamente ineficazes.
O phishing por e-mail em 2025 combina o renascimento retro com o engano de última geração. Desde PDFs carregados de QR e anexos protegidos por senha até entrega baseada em calendário e desvio de MFA orientado por API, os agentes de ameaças estão constantemente refinando seu manual.
Para se defenderem contra essas táticas em evolução, as organizações e os usuários devem tratar os anexos incomuns com ceticismo, verificar links e nomes de domínio antes de clicar e empregar ferramentas avançadas de caça a ameaças, capazes de inspecionar arquivos criptografados e interações na Web em vários estágios.
Somente compreendendo a natureza persistente e adaptativa destes ataques é que os defensores poderão ficar um passo à frente de adversários cada vez mais engenhosos.
Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial emGoogle.