Resumo: criminosos publicam páginas idênticas às do Google Meet que exibem um erro falso e pedem que você copie e cole um comando para "corrigir". Quem cola instala o vírus com as próprias mãos — e, como o comando é executado pelo usuário, boa parte das defesas não vê nada de errado. A técnica tem nome: ClickFix.
O que exatamente acontece
Você recebe um convite de reunião, clica e cai numa página que parece o Google Meet. Em vez da sala, aparece um erro: "falha no dispositivo de áudio", "driver de microfone ausente", algo assim. A página então oferece a solução — um botão que copia um código e a instrução para colar no Windows PowerShell, ou no Terminal, e apertar Enter.
Esse é o golpe inteiro. Não há falha no seu navegador nem no Google Meet: o que existe é uma página que convence uma pessoa apressada, atrasada para uma reunião, a executar um comando que ela não leu.
A apuração é da Sekoia, empresa francesa de segurança, que descreveu a campanha em outubro de 2024. Segundo a Sekoia, a mesma engenharia social aparece com outras roupas — chamada também de ClearFake e OneDrive Pastejacking — imitando Google Chrome, Facebook, Zoom, reCAPTCHA e páginas de compartilhamento de arquivos.
Por que o antivírus costuma deixar passar
Aqui está o detalhe que faz esse golpe funcionar tão bem, e ele merece atenção de quem cuida de TI: o código não chega como anexo nem como download executável. Ele chega pela área de transferência e é executado por um programa legítimo do próprio sistema, com a conta do próprio usuário.
Do ponto de vista da máquina, não houve invasão: houve um usuário autenticado rodando um comando. É por isso que a defesa que olha "arquivo baixado" e "assinatura de vírus" tende a não reagir. O que pega esse tipo de coisa é outra pergunta — por que o computador do financeiro abriu o PowerShell e falou com um endereço na internet que nunca falou antes?
No Windows, a campanha instalava os ladrões de dados StealC e Rhadamanthys. No macOS — e vale repetir isso, porque muita gente ainda acredita que Mac não pega vírus — o ataque usava um arquivo .dmg que instalava o Atomic Stealer.
Ladrão de dados não criptografa nada nem pede resgate. Ele copia senha salva no navegador, cookie de sessão, carteira de criptomoeda e token de acesso, e vai embora. O prejuízo aparece depois, quando alguém entra no e-mail da empresa sem precisar da senha — porque tem o cookie da sessão.
O que a sua empresa faz a partir de amanhã, sem contratar ninguém
Esta parte é a que interessa a quem toca um negócio. Nenhum item abaixo depende de comprar produto:
- Combine com a equipe uma regra simples: nenhuma reunião, nenhum site e nenhum suporte legítimo vai pedir que você copie e cole um comando para "consertar" alguma coisa. Se pedir, é golpe. Essa única frase, dita para todo mundo, resolve a maior parte dos casos.
- Confira o endereço antes de entrar. Reunião do Google Meet acontece em
meet.google.com. Qualquer variação — com hífen a mais, com palavra colada, com outro domínio — é falsa. - Ligue a verificação em duas etapas no e-mail e nos sistemas da empresa. Ela não impede o roubo da senha, mas reduz muito o que o ladrão consegue fazer com ela.
- Pare de guardar senha no navegador. É exatamente o arquivo que esses programas procuram primeiro.
- Se alguém já colou o comando: tire a máquina da rede, troque as senhas de outro computador e encerre as sessões abertas em todos os serviços. Trocar a senha na máquina infectada não adianta — ela é lida de novo.
O que muda quando alguém está olhando
Um ataque desses não é silencioso na rede, mesmo sendo silencioso no antivírus. Ele deixa rastro: um processo do sistema que normalmente não fala com a internet começa a falar; aparece tráfego para um endereço recém-registrado; um computador do escritório passa a conversar com outros que nunca procurou antes.
Essas três coisas são visíveis para quem monitora a rede — e invisíveis para quem só instala antivírus. É o mesmo raciocínio da segmentação de rede: o computador da recepção não precisa enxergar o servidor do financeiro, e quando ele tenta, isso deveria acender uma luz em algum lugar.
É esse tipo de pergunta que um centro de monitoramento responde: não "existe vírus neste arquivo?", mas "este comportamento é normal para esta máquina, neste horário?".
Perguntas frequentes
O Google Meet é inseguro?
Não. O serviço não tem nada a ver com o golpe — os criminosos apenas copiam a aparência dele, porque é uma marca em que todo mundo confia.
Meu antivírus não deveria bloquear?
Nem sempre. O comando é executado pelo próprio usuário, por um programa legítimo do sistema. Para a máquina, é uma ação autorizada.
Uso Mac. Estou livre?
Não. A mesma campanha distribui um instalador para macOS que rouba senhas e carteiras.
Como sei se fui infectado?
Sinais comuns: sessões abertas em serviços que você não abriu, e-mails enviados sem você saber e avisos de login de lugares estranhos. Na dúvida, trate como se tivesse sido — e troque as senhas de outra máquina.
Fontes
- Sekoia — ClickFix tactic: revenge of detection, análise técnica da campanha, outubro de 2024. blog.sekoia.io
- Publicação original desta notícia no blog da Ragnatela IoT Solutions, em 24 de outubro de 2024. O texto foi ampliado em agosto de 2026 com a explicação do mecanismo, as medidas práticas e a leitura de quem opera monitoramento de rede.
Se isso descreve o que pode acontecer na sua empresa
A pergunta que vale mais que qualquer antivírus é esta: se alguém colar esse comando hoje à tarde, quanto tempo até alguém perceber? A resposta honesta, na maioria das empresas, é "só quando der problema".
A gente olha a sua rede e responde essa pergunta com você, numa conversa de 15 minutos, sem custo.
📲 (98) 3197-0997 — falar no WhatsApp
Se você conhece alguém que ia colar o comando sem pensar duas vezes, manda esse texto para essa pessoa. É o tipo de coisa que só se aprende antes.
Perguntas frequentes
Como eu sei que a página do Google Meet é falsa?
A reunião de verdade abre direto no navegador e nunca pede para você copiar e colar um comando em lugar nenhum. Qualquer tela que mande apertar Windows+R, abrir o terminal ou colar um texto para 'corrigir o áudio' é golpe, sem exceção.
O antivírus não deveria barrar isso?
Nesse golpe quem executa o comando é você, com o seu próprio usuário. O antivírus vê uma ação legítima do dono da máquina, e é justamente por isso que o ataque foi desenhado assim.
Alguém aqui já colou o comando. E agora?
Tire a máquina da rede, não desligue (a memória ajuda a apurar), troque as senhas usadas nela a partir de outro computador e avise quem cuida da TI. Trocar a senha na máquina comprometida entrega a senha nova junto.
