Uma empresa que vive de proteger outras empresas atendeu ao telefone e quase perdeu a chave de casa. A ReliaQuest, do setor de segurança, confirmou que foi alvo de um golpe por telefone: alguém ligou para vários funcionários fingindo ser um colega da equipe de segurança e pediu que acessassem uma página de login idêntica à da companhia. Um deles acreditou.
O que interessa ao dono de clínica, de escritório, de indústria ou de loja não é o nome da vítima. É a sequência dos fatos. O funcionário digitou usuário e senha na página falsa e, em seguida, aprovou no celular o aviso do segundo fator — aquele toque de confirmação que muita empresa trata como prova definitiva de identidade. Com as duas coisas na mão, o invasor entrou no painel de identidade da companhia. E foi barrado logo depois.
O que aconteceu, em português claro
A ligação não foi um sorteio. Segundo a apuração publicada pelo BleepingComputer, o criminoso usou o nome de um profissional de segurança que existe de verdade na empresa e hospedou a página falsa em um endereço parecido com o oficial, terminado em .claims. Dias antes, a própria equipe de pesquisa da ReliaQuest havia alertado que o grupo de extorsão ShinyHunters vinha registrando domínios nesse formato para imitar central de ajuda e departamento de TI de organizações escolhidas a dedo.
O acesso obtido foi apenas de leitura. O invasor conseguiu ver o painel, mas quando tentou abrir os aplicativos a partir dali, foi recusado: a empresa exige que o acesso venha de um dispositivo previamente reconhecido, e o computador do criminoso não era um deles. A ReliaQuest afirma que nenhum sistema foi acessado e que nenhum dado de cliente foi tocado. Em seguida, derrubou as sessões abertas, cancelou a senha exposta e redefiniu as credenciais temporárias de autenticação. A revisão dos controles e dos acessos a partir de 21 de agosto não encontrou atividade suspeita, nem sinal de que o invasor tivesse deixado alguma porta aberta para voltar.
Por que o segundo fator não é o fim da linha
Durante anos, o conselho foi simples: ative a verificação em duas etapas e você resolve o problema da senha roubada. O conselho continua valendo, e ativar segue sendo obrigatório. Só que a forma mais comum dessa verificação, o aviso que pisca no celular pedindo um toque para confirmar, depende de uma decisão humana tomada em dois segundos, muitas vezes no meio do expediente, com o telefone tocando e alguém do outro lado dizendo que é do suporte.
Foi exatamente isso que aconteceu. E foi exatamente por isso que a camada seguinte fez diferença. Quando o sistema pergunta também de qual máquina veio o pedido, e só aceita equipamentos cadastrados pela empresa, a senha certa e o toque certo deixam de ser suficientes. Na prática, o invasor ficou olhando uma vitrine trancada.
O que dá para fazer na empresa média brasileira, sem virar uma multinacional:
- Trocar o aviso de toque simples por um método que exija digitar um número exibido na tela, ou por chave física, nos acessos mais sensíveis.
- Registrar os equipamentos da equipe e recusar login de máquina desconhecida, mesmo com senha e código corretos.
- Combinar uma regra clara: ninguém do suporte, interno ou terceirizado, pede senha ou aprovação por telefone. Nunca.
- Definir um único canal para pedidos de acesso e divulgar esse canal para todo mundo, da recepção à diretoria.
A porta de entrada foi uma ligação e um endereço parecido
Repare que não houve falha de equipamento, vírus em anexo nem servidor desatualizado. Houve uma conversa. O criminoso conhecia a empresa o bastante para citar o nome de um funcionário real e tinha preparado um endereço na internet que, lido às pressas, passa por legítimo. Abordagens assim funcionam porque exploram educação, pressa e hierarquia, e não uma brecha técnica.
Do lado técnico, dá para estreitar o caminho. Um firewall corporativo bem configurado consegue barrar o acesso a domínios recém-registrados e a categorias de risco, o que reduz a chance de alguém abrir a página falsa mesmo depois de acreditar na ligação. E um projeto de rede com áreas separadas evita que uma credencial válida abra tudo de uma vez: o financeiro não precisa enxergar o prontuário, e o estoque não precisa enxergar a folha de pagamento.
Vale ainda um cuidado simples com o próprio endereço da empresa. Cadastre e monitore variações do seu domínio, oriente clientes e fornecedores a desconfiar de e-mails que chegam de terminações estranhas e mantenha um único endereço oficial para login. Quanto menos portas parecidas existirem, menos espaço o golpista tem para trabalhar.
Os primeiros minutos valem mais que o discurso
O que separou o incidente de um desastre não foi só a barreira, foi a reação. A empresa cortou as sessões do invasor, invalidou a senha e zerou as credenciais temporárias antes que ele encontrasse outro caminho. Repita esse roteiro na sua realidade e pergunte, com honestidade: hoje, às três da tarde de uma quinta-feira, quem na sua empresa faria isso? Em quanto tempo? E de madrugada?
É aqui que o monitoramento de rede 24 horas deixa de ser luxo. Alguém precisa ver um login estranho, uma aprovação fora de padrão ou um acesso vindo de um lugar improvável enquanto o fato ainda está acontecendo, não na segunda-feira, quando o cliente liga reclamando.
E há a rede de proteção que quase ninguém testa. Se um acesso indevido virar apagamento de arquivos ou sequestro de dados, o que decide o tamanho do prejuízo é ter backup com restauração testada. Cópia que nunca foi restaurada é promessa, não é backup.
Um roteiro simples para começar esta semana
- Liste quem tem acesso a quê. Sistema de gestão, e-mail, banco, prontuário, nuvem. Tire de quem saiu e de quem mudou de função.
- Escreva em uma página o que fazer quando alguém suspeitar de golpe: para quem avisar, o que desligar, quem troca as senhas.
- Avise a equipe, por escrito, que pedido de senha por telefone é sinal de fraude, e que desligar e retornar pelo número conhecido nunca será motivo de bronca.
- Teste uma restauração de verdade neste mês. Escolha um arquivo, restaure, abra, confira.
- Marque uma revisão trimestral. Segurança envelhece; contrato, senha e regra também.
A lição do caso não é que a proteção falhou. É que ela funcionou em camadas, e a camada que segurou o golpe não foi a senha nem o toque no celular: foi a regra chata, invisível, que ninguém percebe até o dia em que salva a empresa. Nenhuma empresa fica imune a uma ligação bem feita. O que dá para escolher é o que acontece nos minutos seguintes.
Fonte: BleepingComputer — ReliaQuest confirms failed data-theft attack after ShinyHunters breach, agosto de 2026.
A Ragnatela IoT Solutions cuida da infraestrutura de TI de empresas brasileiras: redes, firewall, nuvem privada em data center Tier III, backup com restauração testada e NOC com monitoramento 24 horas. Se quiser revisar como está o acesso à sua empresa hoje, fale com a nossa equipe.
Perguntas frequentes
Ativar a verificação em duas etapas resolve o problema?
Ajuda muito e deve ser ativada em tudo, mas não encerra o assunto. No caso relatado, o próprio funcionário aprovou o aviso no celular depois de ser enganado por telefone. O que travou o invasor foi a exigência de que o acesso viesse de um equipamento reconhecido pela empresa.
Como a equipe pode saber se a ligação é mesmo do suporte?
Combine uma regra única e simples: ninguém pede senha, código ou aprovação por telefone. Diante de qualquer pedido assim, o funcionário desliga e retorna pelo número oficial já conhecido. Deixe claro que fazer isso nunca vai gerar reclamação da chefia.
Minha empresa é pequena. Isso vale para mim?
Vale, porque o golpe explora conversa e pressa, não o tamanho do parque de máquinas. Clínicas, escritórios e comércios costumam ter poucos acessos concentrados em poucas pessoas, o que torna cada senha mais valiosa para quem ataca.
O que fazer nos primeiros minutos se alguém cair no golpe?
Encerre as sessões abertas daquele usuário, troque a senha, invalide os acessos temporários e revise o que foi visto ou aberto. Depois, registre o ocorrido e avise quem cuida da sua rede, para acompanhar tentativas seguintes.
Backup tem a ver com golpe de acesso?
Tem, porque um acesso indevido pode terminar em arquivos apagados ou sequestrados. Backup com restauração testada é o que permite voltar ao trabalho sem negociar com criminoso. Se a cópia nunca foi restaurada de verdade, ela ainda não foi comprovada.
