Nos últimos dias surgiram campanhas que exploram plataformas confiáveis e repositórios de código para aplicar golpes e distribuir malwares. Duas ameaças recentes merecem atenção: uma campanha de phishing que usa integrações do Google para imitar e-mails oficiais, e uma ação que espalha malware por meio de projetos no GitHub. Ambas podem comprometer dados pessoais e sistemas corporativos.
No caso do phishing, atacantes configuram aplicações na nuvem para enviar mensagens que parecem originar-se do próprio Google. Isso facilita a passagem por filtros e aumenta a confiança do destinatário, que tende a clicar em links, abrir anexos ou informar credenciais. Pesquisas indicam que o Brasil foi um dos países mais afetados, o que ressalta a necessidade de cautela entre usuários e equipes de TI. O impacto pode variar de contas comprometidas a fraudes financeiras e acesso não autorizado a sistemas internos. Organizações menores são especialmente vulneráveis, pois costumam ter menos recursos para verificar e-mails ou monitorar atividades suspeitas.
Já a distribuição de malware via GitHub envolve repositórios que se apresentam como ferramentas ou provas de conceito, mas incluem código malicioso escondido. Desenvolvedores e curiosos que baixam esses projetos sem checar a origem correm risco de instalar backdoors ou agentes que permitem controle remoto. Paralelamente, falhas em bancos de dados como instâncias do MongoDB continuam a expor senhas e informações quando não há configuração e proteções adequadas, ampliando a superfície de ataque.
A combinação desses vetores — mensagens convincentes, código aparentemente legítimo e bancos mal configurados — cria um cenário em que ataques são fáceis de propagar e difíceis de detectar sem práticas básicas de segurança.
Dica de prevenção: nunca clique em links de e-mails sem confirmar a autenticidade do remetente; valide comunicações por outro canal e evite baixar códigos de repositórios desconhecidos. Mantenha sistemas e backups atualizados, aplique autenticação forte e controle rigoroso de acesso.
Para reduzir riscos de forma profissional, empresas devem investir em testes e inteligência especializada. A LC SEC oferece serviços como Pentest, Threat Intelligence com IA, Auditoria Interna, Conscientização, Plano Diretor de Segurança e SGSI (políticas/processos/procedimentos). Conheça nossas soluções, reduza custos e impactos de incidentes e fortaleça sua defesa em lcsec.io
Fontes:
- https://www.tecmundo.com.br/seguranca/409588-brasil-e-segundo-pais-mais-afetado-por-campanha-de-phishing-usando-automacao-do-google.htm
- https://boletimsec.com/cibercriminosos-usam-github-para-espalhar-malware-webrat-2/
- https://www.tecmundo.com.br/seguranca/409565-falha-expoe-senhas-e-dados-de-87-mil-instancias-do-mongodb.htm
Compartilhe nas redes sociais:
