Cibercriminosos transformam falsas ligações de suporte em operação industrial de roubo de contas
Uma infraestrutura criminosa chamada Work Panel está profissionalizando o velho golpe da “ligação do suporte técnico” e convertendo essa abordagem em ataques em larga escala contra empresas. Em vez de ações isoladas e amadoras, o serviço oferece um painel completo para orquestrar campanhas de tomada de contas corporativas, reunindo em um só lugar pesquisa de vítimas, clonagem de portais de login, telefonia e captura de credenciais.
O Work Panel é associado ao grupo rastreado como O-UNC-045, conhecido no meio de segurança também como Cordial Spider. Esse grupo foca especialmente usuários que acessam ambientes corporativos por meio de provedores de identidade, explorando o modelo de autenticação única (SSO). As campanhas combinam engenharia social por telefone – o famoso vishing – com páginas falsas que simulam portais de autenticação de grandes serviços.
Antes de qualquer chamada, os operadores fazem um levantamento detalhado sobre as vítimas. Eles coletam nome completo, cargo, e-mail corporativo, número de telefone e até informações de perfis profissionais. Com esses dados em mãos, o criminoso passa a ter contexto suficiente para se apresentar como um membro legítimo da equipe de TI ou do help desk da empresa, aumentando muito a taxa de sucesso da abordagem.
Durante a ligação, o atendente conduz a conversa como se estivesse prestando suporte: fala em “atualização de segurança”, “verificação de acesso” ou “regularização de conta”. Ao mesmo tempo, um gerente monitora, em tempo real, a sessão de phishing iniciada contra aquela vítima. Na prática, o operador segue um roteiro, enquanto o responsável técnico faz os ajustes necessários para enganar a vítima na página falsa.
As páginas controladas pelo Work Panel conseguem solicitar diferentes tipos de dados sensíveis: senhas, códigos de autenticação de múltiplos fatores, aprovações via notificação push no celular ou até confirmações numéricas usadas em aplicativos corporativos. O objetivo é capturar todo o conjunto necessário para assumir a conta quase instantaneamente, antes que o usuário desconfie e encerre a chamada.
Um aspecto curioso da plataforma é o controle interno sobre as credenciais roubadas. Os dados inseridos pela vítima não ficam visíveis para o operador que está ao telefone. Em vez disso, as credenciais são encaminhadas exclusivamente aos responsáveis pela operação – os gerentes ou administradores do painel. Essas informações podem ser copiadas diretamente do painel ou entregues por mensageria privada, como Telegram. Essa arquitetura reduz o risco de “desvios” por parte dos próprios golpistas de nível mais baixo, mostrando o grau de profissionalização do esquema.
Além da parte de engenharia social, o Work Panel automatiza tarefas técnicas cruciais: registro de domínios maliciosos, configuração de DNS e criação de páginas falsificadas que reproduzem com alto grau de fidelidade portais de login de serviços como Okta, Microsoft 365 e Salesforce. Na prática, novos ataques podem ser montados em questão de minutos, com aparência convincente e prontos para enganar até usuários experientes.
A estrutura da operação é organizada em camadas, quase como uma empresa legítima. Há atendentes, que fazem as ligações; gerentes, que coordenam e acompanham cada sessão de phishing; e administradores, que controlam o painel, definem alvos, liberam acessos e gerenciam a infraestrutura técnica. Cada campanha é isolada das demais, o que permite trocar equipes, substituir chaves de acesso e reconstruir rapidamente toda a base de domínios e páginas falsas sempre que houver bloqueios ou detecções por parte das empresas e provedores.
Esse isolamento também dificulta a investigação e o rastreio. Se uma campanha é descoberta e interrompida, a infraestrutura restante continua intacta, pronta para ser usada contra outros alvos. Basta registrar novos domínios, fazer pequenos ajustes visuais nas páginas falsas e recomeçar a ofensiva, frequentemente contra outro setor, região ou conjunto de empresas.
Para as organizações, o risco vai além do simples roubo de credenciais. Quando os criminosos obtêm acesso a contas corporativas, eles podem explorar e-mails, documentos internos, sistemas financeiros, ferramentas de colaboração e até consoles administrativos de segurança e identidade. Em cenários mais graves, isso abre portas para movimentação lateral na rede, implantação de ransomware, espionagem corporativa e fraudes financeiras de alto impacto.
Um ponto crítico é que, por se tratar de ataques baseados em engenharia social, muitas ferramentas tradicionais de segurança têm dificuldade em barrar o golpe na origem. A ligação telefônica acontece fora do radar da maioria dos sistemas de proteção, e as páginas falsas são construídas com extremo cuidado para driblar filtros automáticos e, muitas vezes, hospedadas em serviços legítimos comprometidos ou mal configurados.
Diante desse cenário, a conscientização dos colaboradores se torna tão importante quanto a tecnologia. Usuários precisam ser treinados para desconfiar de qualquer ligação inesperada pedindo senha, código de autenticação ou confirmação de login. Equipes de TI e segurança devem reforçar políticas claras: o suporte nunca solicita senha por telefone, não envia links de acesso durante a ligação e não pede para inserir códigos de verificação em sites externos ou desconhecidos.
Além da educação, é fundamental estabelecer canais oficiais de contato. Funcionários devem saber exatamente qual número, ramal ou sistema interno usar para confirmar se uma solicitação de suporte é verdadeira. Um simples retorno de chamada usando os canais oficiais da empresa já seria suficiente para desmascarar boa parte dessas tentativas, pois o criminoso não consegue ser localizado pelos meios institucionais.
Empresas também podem mitigar riscos fortalecendo a autenticação multifator, reduzindo o uso de métodos mais vulneráveis como códigos via SMS ou simples notificações push sem contexto. Métodos baseados em chaves de segurança físicas, autenticação FIDO2, aplicativos com confirmação explícita e geolocalização e políticas de acesso condicional ajudam a tornar a captura de credenciais muito menos útil para o atacante, mesmo quando ele consegue enganar a vítima.
Outra medida é monitorar ativamente acessos suspeitos. Entradas em contas a partir de países incomuns, dispositivos nunca vistos, horários anômalos ou múltiplas tentativas de login em curto período devem disparar alertas automáticos. Em alguns casos, pode ser prudente exigir uma nova autenticação forte ou até bloquear temporariamente o acesso até que a equipe de segurança valide a situação.
Do ponto de vista dos provedores de identidade e de grandes plataformas em nuvem, o desafio é tornar os fluxos de autenticação mais resistentes à engenharia social. Isso passa por reduzir a dependência de simples digitação de códigos, introduzir verificações de contexto (como exibir origem do login, IP aproximado e dispositivo) e melhorar a experiência do usuário para que ele estranhe comportamentos fora do padrão, como múltiplas solicitações de aprovação em sequência.
O surgimento de plataformas como o Work Panel mostra que o crime digital vem adotando o mesmo nível de organização, automação e divisão de tarefas que empresas legítimas. Atacantes terceirizam funções, padronizam processos, investem em “treinamento” de operadores de ligação e escalam ataques como se fossem campanhas de vendas. Para as organizações, isso significa que subestimar uma simples ligação de “suporte técnico” pode ser o primeiro passo para um incidente grave.
Em última análise, a defesa mais eficaz contra esse tipo de golpe é combinar tecnologia robusta, processos bem definidos e uma cultura de segurança viva, em que funcionários se sintam à vontade para questionar, recusar pedidos suspeitos e reportar imediatamente qualquer contato estranho. À medida que cibercriminosos sofisticam seus painéis e roteiros de ataque, o fator humano dentro das empresas continua sendo tanto o alvo preferencial quanto a linha de defesa decisiva.