Por anos, as campanhas de phishing direcionadas a instituições financeiras seguiram o mesmo roteiro. As vítimas eram enganadas para inserir nomes de usuário e senhas, os atacantes coletavam as credenciais e as contas eram comprometidas depois, quando surgia uma oportunidade.
Esse modelo está mudando.
Investigações recentes sobre operações de phishing voltadas a seguradoras revelam uma abordagem mais imediata. Em vez de coletar credenciais para uso posterior, os atacantes agora sincronizam sua atividade com as vítimas em tempo real, autenticando-se em portais legítimos de seguros enquanto as vítimas, sem saber, concluem o processo de login. Todo o ataque pode acontecer em uma única sessão de navegação.
Essa mudança evidencia uma tendência mais ampla no cenário de segurança cibernética. À medida que as campanhas de phishing se tornam mais sofisticadas, simplesmente identificar sites maliciosos e domínios de impersonação já não é suficiente. As organizações precisam cada vez mais entender a infraestrutura, as técnicas e os fluxos operacionais por trás desses ataques.
Leia o relatório completo aqui: https://www.ctm360.com/reports/insuretrap-fake-insurance-phishing-account-hijacking
Seguros se tornaram um alvo cada vez mais atraente
As seguradoras expandiram rapidamente seus serviços on-line. Hoje, os clientes podem adquirir apólices, renovar coberturas, registrar sinistros, gerenciar contas, atualizar informações pessoais e realizar pagamentos inteiramente por portais digitais.
Embora isso melhore a experiência do cliente, também cria um ambiente atraente para agentes maliciosos.
Diferentemente dos ataques bancários tradicionais, que visam principalmente transações financeiras, contas de seguros comprometidas geralmente contêm amplas informações pessoais, documentos de identidade, registros de apólices, formas de pagamento e outros dados confidenciais de clientes que podem dar suporte a fraudes muito além do comprometimento inicial.
Durante a investigação, foi identificada uma operação de phishing coordenada, voltada a múltiplas seguradoras em diferentes regiões. Em vez de se passar por uma única organização, a campanha reutilizava a mesma infraestrutura operacional em diversas marcas de seguros, adaptando idioma, identidade visual e conteúdo aos mercados locais. A Arábia Saudita parecia ser o principal alvo, enquanto atividades adicionais foram observadas na Europa, nos Estados Unidos e na Índia.
Anúncios do Google estão se tornando o vetor inicial de ataque
Uma das observações mais notáveis foi o uso consistente de anúncios patrocinados do Google como principal mecanismo de entrega.
Em vez de depender de e-mails ou campanhas de SMS (serviço de mensagens curtas) de phishing, os atacantes compram anúncios que aparecem quando os usuários pesquisam cotações de seguros, renovações ou comparações de preços. Os anúncios promoviam ofertas como "Compare ofertas de seguro de carro" ou "Seguro contra terceiros mais barato", incentivando os usuários a clicar no que parecia ser um serviço legítimo de cotação.
Após clicar no anúncio, as vítimas são redirecionadas a sites de phishing que imitam de perto seguradoras reais. Esses sites reproduziam identidade visual, interfaces, fluxos de cotação e portais de atendimento com um nível de realismo pensado para reduzir a suspeita durante toda a interação.
A infraestrutura que sustentava essas campanhas também era descartável. Em vez de depender de hospedagem maliciosa dedicada, os operadores frequentemente se apoiavam em construtores de sites legítimos e plataformas de hospedagem gratuita, como GitHub Pages, Netlify, Hostinger, Wix, Lovable e outros serviços em nuvem. Domínios aleatórios, com pouca ou nenhuma semelhança com marcas de seguros, permitiam que as campanhas fossem alternadas rapidamente, reduzindo a eficácia de iniciativas convencionais de monitoramento de marca.
O phishing evoluiu para o sequestro de contas em tempo real
As campanhas de phishing há muito são usadas para roubar informações sensíveis, incluindo dados pessoais, informações financeiras, dados de cartões de pagamento, registros de seguros e credenciais de contas. Em muitos casos, o objetivo era coletar o máximo de informações possível e explorá-las depois por meio de tomada de contas, fraude de identidade ou abuso financeiro.
As campanhas modernas de phishing contra seguradoras representam uma evolução significativa desse modelo. Em vez de funcionarem como páginas estáticas de coleta de dados, esses portais de phishing se envolvem ativamente com as vítimas ao longo do processo de autenticação. Conforme as vítimas enviam suas informações, os atacantes usam simultaneamente os dados coletados para interagir com o portal legítimo da seguradora em tempo real, transformando a página de phishing em um intermediário ao vivo entre a vítima e o serviço verdadeiro.
Essa abordagem permite que os atacantes superem mecanismos de autenticação que, tradicionalmente, limitariam a utilidade das credenciais roubadas. Quando a seguradora legítima envia uma senha de uso único (OTP, na sigla em inglês) ou outro desafio de verificação, a página de phishing pede imediatamente à vítima que digite o mesmo código sob o pretexto de uma verificação de identidade de rotina. A OTP informada é então encaminhada ao portal legítimo antes que expire, permitindo que os atacantes concluam a autenticação enquanto a vítima permanece alheia.
Em vez de apenas coletar informações para uso futuro, essas campanhas sincronizam cada etapa do processo de login, permitindo que os atacantes validem credenciais, satisfaçam requisitos de autenticação multifator e estabeleçam sessões autenticadas em tempo real. O resultado é uma forma de phishing muito mais eficaz, que transforma o que antes era um exercício de coleta de dados em uma operação ativa de sequestro de contas, reduzindo significativamente a possibilidade de que a vítima ou os defensores detectem e interrompam o ataque antes que o acesso seja obtido.
Kits modernos de phishing funcionam como plataformas operacionais
A análise da infraestrutura de phishing revelou que essas campanhas são apoiadas por muito mais do que páginas estáticas.
Durante a investigação, a CTM360 identificou um kit de phishing até então não documentado e o batizou de InsureOTP Kit. O kit foi criado sob medida para operações de phishing com tema de seguros, oferecendo gerenciamento de sessões ao vivo, coleta de dados em tempo real, administração de backend e múltiplos métodos de exfiltração de dados.
Diferentemente dos kits de phishing mais antigos, que apenas enviavam por e-mail as credenciais capturadas, esse framework permite que os operadores gerenciem ativamente cada sessão de vítima.
Entre as capacidades observadas estão:
- Monitoramento de vítimas em tempo real
- Painéis administrativos de backend
- Fluxos de aprovação manual
- Rastreamento de sessões
- Integrações com bots do Telegram
- Comunicação direta com APIs (interfaces de programação de aplicativos) de backend
- Tratamento de OTPs ao vivo
Algumas variantes se apoiavam em APIs de bots do Telegram para receber de forma estruturada e instantânea os envios das vítimas, enquanto outras transmitiam as informações diretamente para servidores de backend controlados pelos atacantes. Os pesquisadores também observaram interfaces de backend capazes de solicitar OTPs adicionais sempre que a autenticação falhava, permitindo que os operadores continuassem tentando acessar a conta antes que os códigos expirassem.
Essas capacidades mostram como os kits de phishing continuam a evoluir de simples coletores de credenciais para plataformas de ataque interativas, projetadas para o comprometimento de contas em tempo real.
A infraestrutura pode revelar toda a operação
Um dos aspectos mais valiosos da inteligência de ameaças cibernéticas é a possibilidade de ir além das páginas individuais de phishing e compreender o ecossistema mais amplo da campanha.
Durante a investigação, a CTM360 identificou recursos de backend publicamente acessíveis, associados à infraestrutura de phishing. A análise de arquivos expostos revelou componentes administrativos, código-fonte de backend, bancos de dados SQLite, registros operacionais e infraestrutura de apoio que deram uma visão clara de como o framework de phishing funcionava.
A investigação mostra por que a inteligência moderna de ameaças vai além da identificação de domínios maliciosos ou sites de phishing. Ao analisar a infraestrutura subjacente, as ferramentas, os componentes de backend e os fluxos dos atacantes, os defensores podem obter uma compreensão muito mais profunda de como as campanhas são desenvolvidas, gerenciadas e executadas.
Em vez de perguntar "Onde está a página de phishing?", os investigadores perguntam "Como a campanha opera?".
Essa mudança reflete uma das transformações mais significativas da inteligência moderna de ameaças cibernéticas, deixando de detectar ameaças individuais para entender a infraestrutura, as ferramentas e a metodologia operacional do adversário.
Por que os defensores precisam de uma abordagem diferente
A característica definidora dessa campanha não é simplesmente o roubo de credenciais; é o comprometimento durante a sessão.
A resposta tradicional a incidentes parte do pressuposto de que existe um atraso entre o roubo de credenciais e o abuso da conta. Essa premissa nem sempre se sustenta.
Nessas operações, a coleta de credenciais, a interceptação de OTPs e o sequestro da conta ocorrem como parte de um único fluxo contínuo. Quando a vítima percebe que algo está errado, o atacante já pode ter se autenticado com sucesso e obtido acesso à conta legítima.
Para os defensores, isso significa que a detecção não pode se basear apenas na identificação de domínios de phishing depois que eles surgem.
As organizações devem monitorar anúncios pagos abusando de suas marcas, domínios lookalike recém-registrados, infraestrutura descartável de phishing hospedada em nuvem e padrões de autenticação que indiquem interceptação de OTPs em tempo real.
É igualmente importante compreender o ecossistema de atacantes por trás dessas campanhas, em vez de tratar cada site de phishing como um incidente isolado.
Olhando além da página de phishing
As campanhas de phishing contra seguradoras oferecem um exemplo claro de como as ameaças externas continuam a evoluir.
Os atacantes estão otimizando para velocidade, automação e acesso imediato, em vez de exploração tardia. A infraestrutura é cada vez mais descartável, os kits de phishing estão se tornando plataformas operacionais e o comprometimento de contas agora acontece durante a sessão ativa da vítima, e não depois.
Para os defensores, isso reforça uma realidade importante. Apenas identificar sites maliciosos não basta mais. As equipes de segurança precisam cada vez mais de inteligência contextual que conecte infraestrutura, fluxos de atacantes, ferramentas e comportamento das campanhas, para entender como as ameaças evoluem e onde podem ser interrompidas antes de alcançar os clientes.
Isso reflete uma mudança mais ampla em curso também no setor de segurança cibernética. A Proteção de Riscos Digitais (DRP, na sigla em inglês) tradicionalmente se concentrou em identificar ameaças externas, como sites de phishing, impersonação de marca e domínios maliciosos. Hoje, as organizações exigem cada vez mais Inteligência de Ameaças Cibernéticas (CTI, na sigla em inglês) que explique como as campanhas operam, como a infraestrutura dos atacantes está conectada, como os kits de phishing evoluem e como os adversários executam e adaptam suas operações.
A própria CTM360 passou por essa evolução, expandindo-se de uma plataforma de Proteção de Riscos Digitais para uma plataforma mais ampla de Inteligência de Ameaças Cibernéticas. No início deste ano, a CTM360 foi reconhecida como uma das fornecedoras incluídas no quadrante mágico inaugural do Gartner para Tecnologias de Inteligência de Ameaças Cibernéticas.
Embora esta investigação se concentre em uma campanha de phishing contra seguradoras, ela também mostra por que os programas modernos de segurança exigem inteligência que vá além da identificação de indicadores individuais para a compreensão completa das operações adversariais.
Leia o relatório completo aqui: https://www.ctm360.com/reports/insuretrap-fake-insurance-phishing-account-hijacking
