Tudo o que precisa saber sobre Phishing-como-um-Serviço

O que é Phishing-como-um-Serviço?

Phishing-as-a-Service, ou PhaaS, é um modelo de cibercrime onde os atores de ameaça oferecem ferramentas, kits e serviços de phishing a outros atacantes, muitas vezes por assinatura ou pagamento único. Reduz a barreira de entrada para ataques de phishing ao fornecer modelos prontos, hospedagem, automação e até suporte ao cliente. PhaaS permite que usuários não técnicos lancem campanhas de phishing sofisticadas, contribuindo para o aumento de incidentes de phishing globalmente.

Como funciona o PhaaS?

1. Os atacantes inscrevem-se neste serviço — frequentemente através da Darknet ou de canais do Telegram — e obtêm acesso à infraestrutura PhaaS.
2. O serviço fornece e-mails e sites falsos prontos que parecem empresas reais.
3. O burlão pode personalizar mensagens para as tornar convincentes.
4. Em seguida, esses emails ou sites falsos são enviados para muitas pessoas.
5. Quando alguém cai no truque e insere as suas informações privadas, o burlão recolhe-as e pode roubar dinheiro ou identidades.

Quem utiliza PhaaS?

• Os atacantes que pretendem fazer o roubo de credenciais mas não sabem como criar os emails de phishing, a infraestrutura para hospedar páginas de login falsas da Microsoft/Google, roubar tokens de autenticação multifator (MFA) e enviá-los para um servidor de comando e controlo.
• Às vezes, mesmo pessoas que não são muito entendidas em tecnologia podem usar o PhaaS porque facilita o lançamento de esquemas fraudulentos por qualquer pessoa.

Por que usam PhaaS?

• Poupa tempo e esforço — não precisam criar esquemas de fraude complicados do zero.
• É frequentemente barato ou baseado em subscrição, por isso é fácil de aceder.

É muito mais fácil agora lançar uma campanha de phishing sofisticada direcionada a milhares de pessoas com apenas alguns cliques ou esforço mínimo, em comparação com os ataques de phishing tradicionais. Esses ataques modernos são altamente avançados — usam métodos inteligentes para evitar a deteção e muitas vezes dependem de websites e plataformas legítimas mas comprometidas.

Quem são os alvos mais comuns?

• Pessoas comuns que recebem emails que parecem ser dos seus bancos, plataformas, lojas favoritas ou serviços que utilizam.
• Funcionários em empresas — para tentar infiltrar-se nos sistemas da empresa.
• Mesmo pequenas empresas ou organizações que possam não ter fortes proteções de segurança.

Porque é que o PhaaS está a espalhar-se?

• O acesso a estes kits é fácil de obter porque são oferecidos a preços acessíveis.
• São mais eficazes e têm taxas de entrega mais elevadas do que os ataques tradicionais, porque os kits incluem ferramentas avançadas que ofuscam (tornam confuso) e encriptam (protegem) o código fonte e utilizam outras técnicas para evitar a deteção.
• O serviço oculta a complexidade técnica, para que qualquer pessoa possa participar.
• É difícil parar completamente as plataformas PhaaS porque:
  • Eles sabem como se manter escondidos — Estas plataformas são peritas em se esquivar. Usam truques engenhosos para evitar serem detetadas por sistemas de segurança ou autoridades policiais. Estão constantemente a mudar os seus websites, emails e métodos para não serem apanhados facilmente.
    
    
  • Estão por todo o lado — As plataformas PhaaS operam em todo o mundo. Utilizam servidores e websites em diferentes países, dificultando a tarefa de localizá-las ou encerrá-las rapidamente.

Novos e emergentes ataques PhaaS

PhaaS (Phishing-as-a-Service) está a evoluir rapidamente e produzir kits mais recentes e sofisticados que tornam os ataques mais fáceis e eficazes — especialmente para cibercriminosos menos técnicos.

Por exemplo, CoGUI é um novo kit de phishing que visa especificamente organizações japonesas, mostrando como estas ferramentas estão a ser adaptadas para regiões e vítimas específicas.

Outros novos e emergentes kits de phishing incluem:

• Sniper Dz – Um kit altamente personalizável usado para imitar páginas de login de serviços populares, tornando as tentativas de phishing muito convincentes.
• Suricata Mutante – Conhecida pela sua capacidade de adaptar rapidamente a aparência e contornar filtros de email.
• Darcula – Um kit furtivo que combina phishing e entrega de malware, muitas vezes visando utilizadores móveis.
• SessionShark – Especializa-se em roubar sessões de login ativas, permitindo que os atacantes sequestrem contas sem precisar de senhas.

O que torna estes kits particularmente perigosos é que eles evoluem constantemente — atualizando os seus métodos para evitar serem detetados pelos sistemas de segurança. Este desenvolvimento contínuo ajuda os burlões a manterem-se um passo à frente e torna mais difícil encerrá-los.

Técnicas inovadoras em ataques PhaaS

Ataques de phishing estão a tornar-se mais inteligentes e astutos ao usar novos métodos para enganar as pessoas e evitar serem apanhados. Aqui estão alguns dos truques engenhosos que os burlões usam em ataques PhaaS:

1. Usar sites reais e confiáveis
   Em vez de criar sites falsos do zero, os burlões frequentemente usam plataformas populares e legítimas para esconder os seus links ou ficheiros maliciosos. Isto torna mais difícil para as pessoas e ferramentas de segurança perceberem que algo está errado.
2. Encriptação para permanecer oculto
   Eles encriptam o seu código malicioso, o que significa que o baralham para que pareça um disparate. Isto torna difícil para o software de segurança detetar e bloquear os seus ataques.
3. Tornar o código confuso (ofuscação)
   Os burlões também usam técnicas para tornar o seu código confuso e difícil de entender, de modo que mesmo os especialistas têm dificuldade em perceber o que o código realmente faz.
4. Sempre a mudar os seus truques
   Estes kits de phishing estão sempre a evoluir. Atualizam regularmente a sua forma de funcionar para conseguirem passar pelas defesas de segurança que se tornam mais inteligentes a cada dia.
5. Utilização de websites reais mas comprometidos
   Os atacantes por vezes utilizam websites legítimos que foram comprometidos para alojar as suas fraudes. Como estes sites são reais e de confiança, é mais fácil enganar as vítimas.
6. Evitar a deteção com verificações inteligentes
   Algumas ferramentas de phishing conseguem detetar quando bots de segurança ou ambientes sandbox as estão a analisar. Quando isto acontece ou uma vez que o ataque tenha decorrido, redirecionam as vítimas para sites reais para evitar levantar suspeitas.

Os kits PhaaS competem entre si nos seguintes termos

1. Preço e acessibilidade: Os kits que são mais baratos ou mais fáceis de obter tendem a atrair mais utilizadores. Alguns oferecem subscrições, enquanto outros vendem licenças únicas. O preço e as opções de pagamento são muito importantes.
2. Atualizações: Alguns fornecedores de PhaaS oferecem suporte ao cliente e atualizam regularmente os seus kits para contornar novas medidas de segurança. Kits que se mantêm atualizados e oferecem ajuda mantêm os seus utilizadores fiéis.
3. Taxas de sucesso: Se um kit é conhecido por ajudar burlões a evitar a deteção e a roubar informações com sucesso, ganha popularidade em relação aos outros.

Volume de ataques PhaaS

Desde o início de 2025, aproximadamente 60% a 70% dos ataques de phishing que observámos foram ataques PhaaS. Entre estes, o kit mais amplamente utilizado é Tycoon 2FA, representando 76% dos ataques. EvilProxy constitui cerca de 8%, enquanto Mamba 2FA e Sneaky 2FA juntos representam 6%. Os restantes 10% provêm de vários outros kits de phishing, como LogoKit, CoGUI, FlowerStorm, Gabagool, entre outros.

Nota: Este artigo do blog foi coautorado por Deerendra Prasad.