Criminosos usam falsas chamadas de suporte para roubar acessos corporativos
Uma nova geração de golpes está profissionalizando o velho “suporte técnico falso” para invadir contas empresariais. Uma plataforma criminosa, batizada de Work Panel, reúne em um só ambiente tudo o que os golpistas precisam para conduzir ataques de tomada de contas: pesquisa detalhada de alvos, clonagem de portais de login, infraestrutura de telefonia e mecanismos automatizados de captura de credenciais.
A solução é operada por um grupo rastreado como O-UNC-045, também conhecido como Cordial Spider. Em vez de depender apenas de e‑mails de phishing, o grupo combina ligações telefônicas, em que os criminosos se passam por help desk, com páginas falsas de autenticação que imitam portais usados no dia a dia de empresas de todos os portes.
O processo começa antes mesmo da primeira chamada. Integrantes da operação fazem um levantamento minucioso sobre a vítima: nome completo, cargo, e-mail corporativo, número de telefone e até perfis em redes profissionais. Essas informações são usadas para criar uma narrativa convincente, adaptada à função daquela pessoa dentro da organização – por exemplo, falando de sistemas financeiros com alguém de contabilidade ou de ferramentas de desenvolvimento com um profissional de TI.
Durante a ligação, o “atendente” mantém a vítima na linha com um roteiro de suporte técnico cuidadosamente preparado. Enquanto isso, em segundo plano, um gerente acompanha em tempo real a sessão de phishing por meio do Work Panel. A vítima é direcionada a uma página falsa de login extremamente parecida com o portal legítimo da empresa ou do provedor de identidade. Essa página pode pedir senha, códigos de autenticação multifator, aprovações por notificação em aplicativos ou até confirmações numéricas usadas em desafios de segurança.
Um detalhe importante: quem fala com a vítima por telefone não tem acesso direto às credenciais que estão sendo digitadas. Os dados capturados são enviados apenas aos operadores responsáveis pela campanha, que podem copiá-los diretamente do painel ou recebê-los em canais privados, como via Telegram. Essa separação de funções reduz o risco de que atendentes de nível mais baixo desviem ou revendam as credenciais, reforçando o caráter “corporativo” da operação criminosa.
O Work Panel também automatiza tarefas técnicas que antes exigiam mais conhecimento especializado. A plataforma cuida do registro de domínios, configuração de DNS e criação de páginas falsas que imitam com alto grau de fidelidade logins de serviços amplamente usados, como Okta, Microsoft 365 e Salesforce. Em poucas dezenas de minutos, uma nova campanha pode ser configurada, com domínios prontos, templates de páginas e telefones preparados para disparo das ligações.
A estrutura interna da operação reproduz um modelo empresarial tradicional. Há “atendentes”, encarregados apenas de fazer as ligações; “gerentes”, que coordenam sessões de phishing e monitoram resultados; e “administradores”, que controlam o painel, a infraestrutura e as credenciais roubadas. Cada campanha é isolada das demais, o que facilita substituir operadores comprometidos, trocar chaves e certificados ou reconstruir rapidamente o ambiente após bloqueios por provedores de hospedagem ou empresas de segurança.
Esse grau de especialização mostra como o cibercrime vem evoluindo de ações pontuais para verdadeiras cadeias de produção digitais. Em vez de um atacante solitário fazendo tudo, surgem plataformas que oferecem o “golpe como serviço”: qualquer criminoso com menos conhecimento técnico pode alugar o acesso ao Work Panel, contratar atendentes e disparar campanhas massivas com pouca preparação. Isso amplia o número de ataques e a diversidade de alvos.
Um dos pontos mais perigosos desse tipo de fraude é a exploração da confiança no suporte técnico. Funcionários estão habituados a receber ligações de equipes de TI ou de segurança pedindo testes de acesso, mudanças de senha ou confirmação de identidade. Ao usar dados reais sobre a empresa e sobre a vítima, os criminosos reduzem a desconfiança: mencionam o nome do gestor, o departamento, o sistema usado na rotina e detalhes da infraestrutura, o que dá à ligação uma aparência de legitimidade.
Para as empresas, a ameaça vai muito além do roubo de uma única senha. Ao obter acesso a contas de alto privilégio, como administradores de sistemas ou responsáveis por finanças, os atacantes podem movimentar dinheiro, acessar dados sensíveis de clientes, baixar grandes volumes de informação confidencial ou implantar malware e ransomware. Em cenários mais graves, conseguem ainda alterar configurações de segurança, desativar logs e criar contas “fantasma” para manter o acesso por longo prazo.
Há também um componente psicológico relevante. Muitas vítimas relatam que, no momento da ligação, estavam sob pressão de prazos ou demandas internas e confiaram na urgência apresentada pelo suposto suporte. O script dos criminosos costuma incluir frases como “se não atualizarmos agora, seu acesso será bloqueado” ou “estamos respondendo a um incidente crítico”, explorando medo de prejuízos imediatos para acelerar a cooperação da vítima e reduzir o tempo de reflexão.
A proliferação de ferramentas baseadas em inteligência artificial facilita ainda mais a montagem desse tipo de operação. Com o auxílio de IA, criminosos podem gerar roteiros personalizados de conversa, adaptar o tom da fala ao cargo da vítima, criar e-mails de apoio à ligação e até sintetizar vozes mais convincentes. Da mesma forma, páginas falsas podem ser rapidamente ajustadas para acompanhar mudanças visuais nos portais legítimos, mantendo a ilusão de autenticidade.
Diante desse cenário, a principal defesa das organizações é combinar tecnologia com treinamento contínuo. Soluções de autenticação resistente a phishing, como chaves de segurança físicas, reduzem a eficácia desses ataques, pois não bastam apenas senha e código para validar um login. Paralelamente, programas de conscientização precisam ir além do alerta sobre e-mails suspeitos e incluir simulações de golpes por telefone, com ênfase em procedimentos claros: o que a equipe de TI nunca pedirá, como confirmar uma solicitação e quando recusar uma orientação.
Políticas internas também devem definir canais oficiais para contato do suporte técnico. Por exemplo, estabelecer que qualquer solicitação sensível deve ser confirmada por um canal secundário autenticado, como um portal interno ou aplicativo corporativo. Outra prática é exigir que o próprio funcionário ligue de volta para um ramal oficial conhecido, em vez de seguir instruções de números desconhecidos recebidos por e-mail ou mensagem.
Equipes de segurança podem ainda monitorar sinais de abuso, como logins a partir de endereços IP incomuns, acessos em horários atípicos, falhas repetidas de autenticação multifator ou criação inesperada de novas regras em caixas de e‑mail. A correlação desses indicadores, somada a alertas em tempo real, ajuda a interromper sessões suspeitas logo após o uso indevido das credenciais roubadas.
A tendência é que operações como o Work Panel se tornem cada vez mais modulares, baratas e acessíveis para criminosos com pouca experiência. Isso reforça a urgência de tratar a segurança não apenas como um problema tecnológico, mas também como um desafio de cultura organizacional. Empresas que investem em processos claros, educação dos usuários e camadas adicionais de proteção reduzem significativamente a superfície de ataque.
No fim, a linha de defesa mais importante continua sendo a postura crítica dos próprios funcionários. Desconfiar de qualquer pedido inesperado de senha, código ou aprovação; questionar ligações urgentes; e seguir à risca os canais oficiais de suporte são atitudes que podem impedir que plataformas como o Work Panel transformem uma simples conversa ao telefone em uma porta de entrada para um ataque de grandes proporções.