Em uma época marcada por Inteligência Artificial, ataques automatizados e ferramentas sofisticadas de invasão, um dos recentes incidentes envolvendo uma gigante do mercado financeiro começou de uma maneira surpreendentemente simples: uma ligação telefônica. A Apollo Global Management confirmou um incidente de segurança envolvendo acesso não autorizado a determinadas plataformas em nuvem da companhia. O ataque…
Em uma época marcada por Inteligência Artificial, ataques automatizados e ferramentas sofisticadas de invasão, um dos recentes incidentes envolvendo uma gigante do mercado financeiro começou de uma maneira surpreendentemente simples: uma ligação telefônica.
A Apollo Global Management confirmou um incidente de segurança envolvendo acesso não autorizado a determinadas plataformas em nuvem da companhia. O ataque ocorreu entre os dias 6 e 10 de julho de 2026 e envolveu técnicas de engenharia social.
Entre as informações potencialmente comprometidas estavam nomes, datas de nascimento, dados de contato, endereços residenciais e números de Social Security, documento utilizado nos Estados Unidos e considerado extremamente sensível devido à sua utilização em diferentes processos de identificação.
O episódio chama atenção não apenas pelo tamanho da empresa atingida, mas principalmente pela forma como os criminosos atuaram.
A campanha associada a esse tipo de ataque utiliza uma técnica conhecida como vishing, ou voice phishing. Em vez de enviar apenas um e-mail falso, os criminosos telefonam diretamente para funcionários e se apresentam como integrantes da equipe de suporte técnico ou do help desk da própria organização.
A abordagem é aparentemente simples: o falso técnico informa que existe algum problema com a conta, senha, autenticação multifator ou acesso corporativo do funcionário. Em seguida, conduz a vítima para uma página falsa ou solicita procedimentos que permitem capturar credenciais.
Em alguns ataques observados nessa campanha, os criminosos chegaram a fazer com que a ligação aparentasse vir do número legítimo do suporte técnico da empresa. Isso torna a fraude ainda mais convincente. Depois de conseguir a senha, o atacante ainda precisa superar uma das principais barreiras de segurança atuais: a autenticação multifator, conhecida como MFA.
É justamente aí que entra novamente a engenharia social. Enquanto permanece ao telefone, o criminoso pode convencer a vítima a informar ou validar um código de autenticação. Em poucos segundos, aquilo que deveria representar uma segunda camada de segurança acaba sendo utilizado pelo próprio atacante para entrar na conta corporativa.
O caso da Apollo integra um cenário mais amplo de ataques direcionados a empresas dos setores financeiro, private equity e serviços profissionais. Organizações da América do Norte, Austrália e Reino Unido passaram a ser alvo de campanhas utilizando chamadas telefônicas com temática de help desk.
Isso nos leva a uma conclusão importante: investir milhões em tecnologia não elimina o risco humano. Uma empresa pode possuir firewalls avançados, sistemas de detecção de ameaças, Inteligência Artificial, autenticação multifator e equipes especializadas em cibersegurança. Entretanto, se um funcionário puder ser convencido a entregar suas credenciais durante uma ligação de cinco minutos, parte dessa infraestrutura pode ser contornada.
Esse é exatamente o princípio da engenharia social. Em vez de atacar diretamente a tecnologia, o criminoso ataca a pessoa que possui autorização para utilizá-la. E existe outro problema ainda maior quando ocorre um vazamento desse tipo: o ataque inicial pode terminar, mas os dados roubados permanecem valiosos.
Nome completo, endereço, telefone, data de nascimento e documentos de identificação podem ser combinados para construir golpes extremamente personalizados. Quanto mais informações o criminoso possui sobre uma pessoa, maior é sua capacidade de criar uma história convincente.
Imagine receber uma ligação de alguém que conhece seu nome completo, endereço residencial, data de nascimento e empresa onde trabalha. Para muitas pessoas, a posse dessas informações seria suficiente para acreditar que estão realmente conversando com um banco, empresa ou órgão legítimo.
É por isso que vazamentos de dados também alimentam novos ataques de engenharia social. O dado roubado hoje pode se transformar no golpe de amanhã. Para as empresas, o episódio deixa algumas lições importantes. Procedimentos de help desk precisam ser tratados como parte crítica da segurança corporativa. Alterações de senha, redefinições de autenticação e recuperação de contas devem possuir mecanismos adicionais de validação.
Também é necessário criar protocolos claros para os funcionários. Um profissional de suporte legítimo precisa de sua senha? Pode solicitar um código MFA por telefone? Qual é o procedimento oficial para confirmar se uma ligação realmente partiu do departamento de TI?
Essas respostas precisam ser conhecidas antes do ataque acontecer. Treinamentos periódicos de engenharia social, simulações de phishing e vishing, autenticação resistente a phishing e monitoramento de acessos anormais são algumas das medidas capazes de reduzir esse risco.
Mas existe uma mudança cultural ainda mais importante. Durante muitos anos, segurança da informação foi tratada como responsabilidade exclusiva da área de TI. Essa visão não funciona mais. Do presidente ao estagiário, qualquer pessoa com uma conta corporativa pode se tornar uma porta de entrada para um atacante.
O caso Apollo demonstra também que a sofisticação de um ataque não deve ser medida apenas pela tecnologia utilizada. Às vezes, o ataque mais eficiente não precisa de um malware revolucionário, uma vulnerabilidade desconhecida ou uma Inteligência Artificial avançada.
Precisa apenas de um telefone, uma história convincente e alguém disposto a acreditar nela. Em cibersegurança, costumamos investir muito para fortalecer as paredes digitais das organizações. O problema é que os criminosos descobriram que, em muitos casos, é mais fácil convencer alguém lá dentro a abrir a porta.
E enquanto o fator humano continuar sendo tratado como o elo menos importante da estratégia de segurança, a engenharia social continuará demonstrando exatamente o contrário.
Fonte:Source link
