O padrão dominante da fraude por e-mail em 2026 já não é a mensagem estranha de um remetente desconhecido: é uma resposta legítima, dentro de um fio de conversa real, enviada de uma caixa de correio verdadeira que foi comprometida dias ou semanas antes. Duas cadeias de ataque documentadas por investigadores ao longo do primeiro semestre de 2026 — uma centrada no sequestro de conversas com o kit EvilProxy, outra na recolha silenciosa de correio financeiro em contas Microsoft 365 — mostram como os atacantes deixaram de tentar enganar filtros e passaram a explorar a confiança que já existe entre empresas, fornecedores e departamentos financeiros. O resultado final é quase sempre o mesmo: credenciais e tokens de sessão roubados e, a jusante, pagamentos desviados.
Resposta rápida: Atacantes estão a comprometer caixas de correio de fornecedores e a responder dentro de conversas de negócio verdadeiras, encaminhando as vítimas para páginas de autenticação Microsoft falsas que roubam a sessão já autenticada — a autenticação multifator tradicional não trava o ataque. Uma segunda campanha, em curso, ocupa contas Microsoft 365 apenas para vigiar correio financeiro, preparando o desvio de pagamentos. Ative autenticação resistente a phishing (FIDO2/passkeys), imponha verificação por segundo canal em qualquer alteração de dados bancários e monitorize regras de caixa de entrada e inícios de sessão a partir de proxies residenciais.
Cadeia 1: a resposta que chegou de dentro da conversa
O caso mais detalhado publicado este ano foi analisado pela ANY.RUN. Os analistas identificaram uma campanha de phishing de cadeia de abastecimento em que os atacantes sequestraram um fio de e-mail em curso entre quadros de topo que discutiam um documento a aguardar aprovação final, tendo provavelmente comprometido a caixa de correio de um fornecedor já presente na conversa para responder como participante legítimo com uma ligação de phishing que imitava um formulário de autenticação da Microsoft.
A cadeia técnica é deliberadamente longa. Começa no e-mail de phishing enviado pelo lado do fornecedor, passa por sete reencaminhamentos, depois pela ligação maliciosa, por uma página anti-bot com Cloudflare Turnstile, por uma segunda página protegida por Turnstile e termina no EvilProxy, um kit adversary-in-the-middle (AiTM) usado para roubar credenciais Microsoft. Esse encadeamento faz com que o conteúdo malicioso final só fique exposto durante a execução real, e não numa verificação estática de URL, o que obriga à detonação comportamental para confirmar a intenção.
O ponto crítico para as equipas de segurança é o que o EvilProxy faz depois do clique. Trata-se de um kit que usa técnicas de proxy inverso para recolher credenciais e cookies de sessão, intercetando em tempo real utilizador, palavra-passe e código de dupla autenticação, e gerando de imediato um cookie de sessão válido do lado do atacante, contornando na prática as proteções de MFA. Por outras palavras: códigos por SMS, aprovações por notificação push ou códigos de aplicações autenticadoras não impedem o roubo da sessão já validada.
O incidente não foi isolado. A ANY.RUN associou os indicadores a uma operação mais ampla consistente com o kit EvilProxy, ativa desde o início de dezembro de 2025 e com alvos sobretudo no Médio Oriente, o que sugere infraestrutura reutilizada em campanhas paralelas contra outras regiões.
Cadeia 2: a caixa de correio ocupada que ninguém nota
A segunda cadeia é, em muitos aspetos, mais insidiosa, porque não produz nenhum dos sinais clássicos de fraude. A Arctic Wolf Labs está a acompanhar uma campanha de phishing por e-mail, ampla e ativa, que usa técnicas AiTM para comprometer contas Microsoft 365, identificar as pessoas envolvidas em fluxos financeiros e recolher o correio relacionado; a operação recorre a proxies residenciais para disfarçar os inícios de sessão maliciosos como tráfego de consumidor comum e mantém as sessões comprometidas de forma automatizada, em intervalos de cerca de oito horas, evitando os comportamentos típicos de BEC mas gerando sinais de deteção comportamental persistentes.
A campanha afeta organizações de saúde, educação, indústria transformadora, administração pública e serviços profissionais nos Estados Unidos, no Canadá e na Europa, e apresenta características comuns ao conjunto de atividade «Payroll Pirates», que a Microsoft acompanha como Storm-2755. A análise da infraestrutura confirmou que o proxy AiTM retransmite o fluxo de autenticação genuíno da Microsoft em vez de apresentar uma página estática de recolha de credenciais: o navegador da vítima liga-se ao domínio controlado pelo atacante, que reencaminha o tráfego em tempo real, e o código de autorização e o token de identidade acabam entregues ao callback controlado pelo proxy antes de a vítima ser redirecionada para o site legítimo do Office 365.
Cronologia e sinais observáveis
| Momento | Observação |
|---|---|
| Dezembro de 2025 | Início da atividade associada à operação EvilProxy identificada pela ANY.RUN, com alvos sobretudo no Médio Oriente |
| Janeiro de 2026 | Sequestro de fio de conversa entre quadros de topo, com sete reencaminhamentos até à página AiTM |
| 1.º semestre de 2026 | Consolidação do sequestro de conversas como técnica dominante de BEC nos dados de fornecedores de segurança de e-mail |
| Julho de 2026 | Arctic Wolf observa centenas de organizações visadas pela campanha AiTM de recolha de correio financeiro |
Do lado dos indicadores, vale mais caçar comportamentos do que domínios, porque a infraestrutura roda depressa. A ANY.RUN aponta o pivotar de domínios, caminhos de URL como /bot e /robot e padrões do tipo loginmicrosoft* como elementos úteis para mapear o incidente numa campanha EvilProxy mais alargada e alimentar deteção com IOCs e IOBs. Na campanha seguida pela Arctic Wolf, os sinais são de natureza diferente: os e-mails usam o tema de mensagem de voz com marca Microsoft e detalhes fabricados de identificação de chamada, data, duração e número de referência, com um formato de assunto consistente que inclui o nome da organização e uma referência aleatória, e o clique inicia uma cadeia de redirecionamentos que abusa do Google Meet, de infraestrutura de anúncios da Google e de buckets AWS S3 antes de chegar ao proxy AiTM. Depois do acesso, os inícios de sessão maliciosos partem de endereços de proxy residencial rotativos e, tipicamente entre 11 e 24 horas após o acesso inicial, atividade automatizada renova cada sessão comprometida a cada oito horas.
Porque é que os filtros e a formação clássica falham
Os números de mercado ajudam a explicar a mudança. Segundo a análise anual da Sublime Security, os ataques de BEC e fraude representaram perto de 32% de todas as ameaças por e-mail em 2025 e o sequestro de conversas, real ou fabricado, passou a corresponder a 28,1% dos ataques de BEC, ultrapassando o BEC tradicional: o domínio do remetente pode ser desconhecido, mas o contexto e o histórico da conversa parecem genuínos, o que dificulta a deteção tanto para pessoas como para sistemas automáticos. A mesma investigação indica que 34,7% dos ataques observados usaram duas ou mais técnicas de evasão na mesma campanha.
O impacto financeiro está bem documentado. De acordo com o relatório anual do Internet Crime Complaint Center (IC3) do FBI relativo a 2025, as perdas reportadas ultrapassaram os 20 mil milhões de dólares, com o comprometimento de e-mail empresarial a somar 3.046.598.558 dólares, valor que coloca o BEC como segunda maior causa de perdas, logo a seguir à fraude de investimento. O próprio FBI descreve o modo de operar: software malicioso pode dar acesso a fios de e-mail legítimos sobre faturação, informação depois usada para cronometrar os pedidos de forma a que contabilistas ou responsáveis financeiros não os questionem.
Mitigações concretas para PME e equipas de segurança
- Autenticação resistente a phishing: passkeys ou chaves FIDO2 para funções financeiras, administrativas e de direção, uma vez que os kits AiTM capturam o token pós-MFA e não apenas a palavra-passe.
- Verificação fora de banda obrigatória: qualquer alteração de IBAN, dados bancários ou instruções de pagamento validada por telefone para um número já conhecido, nunca por resposta ao próprio fio de e-mail.
- Dupla aprovação de pagamentos acima de um limiar definido, com segregação entre quem altera dados de fornecedor e quem executa a transferência.
- Monitorização de identidade: alertas para novas regras de caixa de entrada, reencaminhamentos automáticos, consentimentos OAuth suspeitos e sessões renovadas a partir de blocos de proxy residencial.
- Políticas de acesso condicional com avaliação contínua e revogação de tokens em caso de anomalia, além de reautenticação para operações sensíveis.
- Higiene de e-mail: SPF, DKIM e DMARC em modo de aplicação, banners para remetentes externos e detonação comportamental de ligações em sandbox.
- Formação atualizada: treinar a verificação de pedidos dentro de conversas legítimas, e não apenas a deteção de erros ortográficos ou domínios estranhos.
O que muda para as organizações em Portugal
Para as entidades abrangidas pelo Regime Jurídico da Ciberseguranca, aprovado pelo Decreto-Lei n.º 125/2025 que transpõe a Diretiva NIS2, um comprometimento de caixa de correio deste tipo não é um mero incidente de fraude: toca diretamente nas obrigações de gestão de riscos, de segurança da cadeia de abastecimento e de notificação de incidentes significativos ao CNCS, através da equipa nacional de resposta a incidentes, o CERT.PT. O facto de o ponto de entrada ser frequentemente um fornecedor de menor dimensão reforça a necessidade de estender requisitos contratuais mínimos de segurança a parceiros e prestadores.
Há ainda a dimensão de proteção de dados. Quando um atacante mantém acesso prolongado a uma caixa de correio corporativa, o conteúdo exposto inclui, quase sempre, dados pessoais de trabalhadores, clientes e fornecedores — o que configura uma violação de dados pessoais nos termos do RGPD, com obrigação de avaliação e, se houver risco para os titulares, de notificação à CNPD no prazo de 72 horas. Para uma PME portuguesa, o cenário realista é duplo: uma transferência desviada que dificilmente se recupera e um dever de notificação que exige registos e capacidade de investigação que muitas organizações ainda não têm. Preparar hoje os registos de auditoria do Microsoft 365 e um procedimento escrito de resposta a fraude de pagamento é, em termos práticos, mais barato do que qualquer das duas consequências.
Perguntas frequentes
O que é o sequestro de fios de e-mail?
É a técnica em que o atacante, a partir de uma caixa de correio comprometida, responde dentro de uma conversa de negócio já existente. Os criminosos inserem-se em fios legítimos, criando a aparência de uma discussão autêntica em curso, e o contexto e histórico parecem genuínos mesmo quando o domínio do remetente não é familiar.
A autenticação multifator protege contra estes ataques?
Não na sua forma tradicional. Kits como o EvilProxy intercetam em tempo real as credenciais e o código de dupla autenticação e geram de imediato um cookie de sessão válido, contornando as proteções de MFA. Só métodos resistentes a phishing, como FIDO2 ou passkeys, quebram esta cadeia de forma fiável.
Que sinais indicam que uma conta Microsoft 365 pode estar ocupada?
Regras de caixa de entrada criadas sem explicação, reencaminhamentos automáticos, consentimentos OAuth desconhecidos e acessos persistentes. Na campanha seguida pela Arctic Wolf, os inícios de sessão maliciosos passam por proxies residenciais para parecerem tráfego comum e há atividade automatizada a manter as sessões em intervalos de cerca de oito horas.
O que fazer se um pagamento já foi desviado?
Contactar imediatamente o banco para tentar travar ou reverter a transferência, apresentar queixa às autoridades, preservar registos e cabeçalhos de e-mail, revogar sessões e repor credenciais das contas envolvidas. Avaliar depois se houve violação de dados pessoais e se o incidente exige notificação à CNPD e, no caso das entidades abrangidas, ao CNCS.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela ANY.RUN, pela Arctic Wolf Labs, pela Sublime Security e pelo Internet Crime Complaint Center do FBI.