Depois de entrar no e-mail, os criminosos tinham uma ferramenta que fazia o resto

Phishing não é novidade. Durante anos, criminosos enviaram mensagens falsas tentando convencer alguém a clicar em um link, fornecer uma senha ou realizar uma transferência. O problema é que esse modelo acaba de ganhar uma camada de automação capaz de mudar completamente o jogo.

Uma operação descoberta pela Microsoft revela como uma plataforma criminosa estava usando inteligência artificial para transformar informações roubadas em estratégias muito mais precisas. O ataque começava de um jeito que parecia familiar Uma das técnicas utilizadas pela plataforma explorava um método conhecido como phishing por código de dispositivo. Em vez de tentar descobrir diretamente a senha da vítima, o criminoso iniciava uma solicitação legítima de autenticação e depois convencia a pessoa a inserir o código recebido em um site verdadeiro da Microsoft.

O detalhe é importante: a vítima não necessariamente entregava sua senha ao atacante. Ao confirmar o código, podia estar autorizando involuntariamente uma sessão controlada pelo criminoso. A partir desse momento, o problema mudava de escala.

Com o acesso obtido, os invasores podiam consultar mensagens, criar regras para esconder determinados e-mails e registrar novos dispositivos para prolongar a permanência na conta. Foi nesse ponto que a plataforma chamada EvilTokens acrescentou algo diferente. Em vez de deixar o criminoso sozinho diante de uma caixa de entrada cheia de mensagens, o sistema utilizava inteligência artificial para examinar o conteúdo comprometido.

A ferramenta conseguia resumir conversas, localizar referências a pagamentos e faturas e identificar relações entre funcionários de uma organização. O objetivo não era simplesmente descobrir informações interessantes. Era encontrar oportunidades.

A IA podia ajudar a determinar quem tinha autoridade para aprovar pagamentos, quais pessoas estavam envolvidas em determinadas operações financeiras e quais conversas poderiam ser utilizadas para construir uma fraude convincente. O detalhe que transformou uma conta roubada em uma oportunidade de fraude A Microsoft identificou mais de 12 mil caixas de entrada comprometidas, pertencentes a mais de 10 mil organizações espalhadas pelo mundo. O serviço havia surgido em fevereiro de 2026 e rapidamente se tornou uma das plataformas de phishing como serviço acompanhadas pela empresa.

Seu funcionamento lembrava, de maneira perturbadora, o de uma empresa de software convencional. O grupo responsável, identificado pela Microsoft como Storm-2992, divulgava o serviço pelo Telegram, oferecia suporte aos clientes e cobrava uma taxa inicial de US$ 1.500, seguida de uma mensalidade de US$ 500. Os assinantes recebiam uma interface para configurar campanhas e administrar seus alvos.

Havia até 44 tipos diferentes de iscas, incluindo falsas faturas, documentos compartilhados e solicitações de propostas. A automação era justamente o elemento que tornava tudo mais perigoso. Em vez de o criminoso precisar passar horas lendo mensagens para entender a estrutura de uma empresa, o sistema fazia boa parte desse trabalho.

Também foram encontradas instruções específicas para procurar conversas relacionadas a transferências bancárias, identificar funcionários envolvidos com movimentação de dinheiro e localizar faturas de fornecedores. A dimensão financeira da operação também chamou atenção. Segundo informações rastreadas pela Coinbase, aproximadamente US$ 1,1 milhão em receitas passou por quatro endereços da rede Tron, envolvendo mais de mil depósitos provenientes de centenas de endereços diferentes.

Em setembro, dois suspeitos foram detidos em Londres, e seus dispositivos foram apreendidos para investigação. A parte mais preocupante aconteceu depois do roubo O caso revela uma mudança importante no funcionamento do phishing. Tradicionalmente, obter acesso a uma conta era apenas o começo de um trabalho manual: descobrir quem são os funcionários, entender os negócios da empresa, localizar uma operação financeira plausível e elaborar uma mensagem convincente.

EvilTokens tentou colocar todas essas etapas dentro de uma única plataforma. Isso significa que a inteligência artificial não estava sendo usada apenas para escrever textos mais naturais. Ela ajudava a interpretar o contexto encontrado dentro de uma conta comprometida e a escolher quais informações poderiam ser exploradas.

A Microsoft também encontrou indícios de que partes da própria plataforma teriam sido desenvolvidas utilizando ferramentas de IA, em um processo conhecido como “vibe coding”. A tecnologia, portanto, aparecia nos dois lados da operação: na construção da ferramenta e na automação dos ataques realizados por seus usuários. A infraestrutura foi desmantelada, com 50 sites controlados e mais de 175 domínios associados sendo desativados.

Mas a técnica não desaparece simplesmente porque uma plataforma deixou de funcionar. Por isso, a Microsoft recomenda restringir a autenticação por código de dispositivo quando ela não for necessária e priorizar métodos mais resistentes a phishing, como passkeys e chaves de segurança FIDO2. O ponto central do caso é justamente esse: o perigo não estava apenas em uma IA capaz de escrever um e-mail convincente.

O salto estava em utilizar uma conta invadida como uma enorme fonte de informações e deixar a própria tecnologia encontrar, entre milhares de mensagens, a pessoa, a conversa e o momento com maior potencial para transformar um simples acesso em uma fraude financeira.