Radar de Ameaças de E-mail — Janeiro 2026

De fraudes com códigos QR ao phishing com retorno de chamada e mais: Uma visão geral das novas ameaças por e-mail e das tendências de ataque

No último mês, os analistas de ameaças da Barracuda investigaram as seguintes ameaças por e-mail que visam organizações e seus colaboradores:

• Kit de phishing Tycoon usando códigos QR construído com tabelas HTML
• Phishing de retorno de chamada através do Microsoft Teams
• Avisos de infração com tema do Facebook usando pop-ups falsos
• Como utilizar (∕) em vez de (/) pode fazer com que links maliciosos passem despercebidos na deteção

Kit de phishing Tycoon usando códigos QR construído com tabelas HTML

Visão Geral: O kit de phishing Tycoon está a utilizar uma técnica que envolve a construção de códigos QR totalmente digitalizáveis a partir de células de tabelas HTML. Isto permite que os códigos QR maliciosos evitem a deteção por ferramentas de e-mail tradicionais.

O ataque começa com um e-mail de phishing contendo muito pouco texto, muitas vezes apenas uma breve instrução para digitalizar o código usando um dispositivo móvel.

Em vez de inserir uma imagem normal de um código QR — algo que os sistemas de segurança podem facilmente detectar — o código QR é construído a partir de pequenas células de tabela usando HTML (HyperText Markup Language, a linguagem básica usada para criar conteúdo web). Cada célula é colorida a preto ou branco, e juntas formam o padrão de um código QR real. Quando o e-mail é aberto numa aplicação de e-mail (como Outlook ou Gmail), estas células alinham-se visualmente, e o resultado parece uma imagem de código QR normal e digitalizável.

Como não há ficheiro de imagem real, gráfico codificado ou ligação visível, muitas ferramentas de segurança automatizadas não o reconhecem como arriscado. Parece apenas uma tabela simples. Isto permite que o código QR malicioso passe pelos filtros que normalmente o bloqueariam.

Se o utilizador digitalizar o código QR, será direcionado para uma página de phishing do Tycoon criada usando a plataforma Tycoon PhaaS (Phishing as a Service).

Como se manter seguro:

• Evite digitalizar códigos QR em e-mails inesperados ou de fontes desconhecidas.
• Verifique a legitimidade do remetente e tenha cuidado com e-mails com pouco ou nenhum texto.
• Nunca digitalize um código QR sem verificar o seu destino. A maioria dos telemóveis mostrará uma pré-visualização do URL se apontar a câmara para um código QR antes de clicar.
• Educar os funcionários sobre os riscos do phishing por código QR transmitido por e-mail.
• Utilize a autenticação multifator (MFA) para maior segurança.

Esquemas de phishing com retorno de chamada explorando o Microsoft Teams

Visão Geral: Esta campanha de phishing, reportada pela primeira vez em dezembro de 2025, explora a plataforma amplamente utilizada Microsoft Teams para enganar os destinatários a ligarem para números de suporte fraudulentos, onde as suas credenciais, detalhes de pagamento e mais podem ser roubados.

Os atacantes aproveitam-se da confiança dos destinatários no Microsoft Teams ao adicionar alvos a Grupos do Teams com nomes que soam urgentes e, em seguida, apresentam conteúdo falso que inclui faturas de pagamento, avisos de renovação automática ou outras cobranças não autorizadas. Os alvos são informados de que, para evitar o pagamento, tudo o que precisam fazer é ligar para um dos números fornecidos. Todos os números são controlados pelos atacantes.

O uso de uma plataforma de confiança e linguagem emotiva e urgente aumenta a probabilidade de sucesso dos atacantes. E porque os ataques dependem de engano e engenharia social, eles conseguem contornar as defesas de segurança e os filtros de e-mail.

Como se manter seguro:

• Revise as definições de segurança e políticas em torno das notificações do Teams e assegure-se de que ninguém possa ser adicionado automaticamente a grupos externos novos ou desconhecidos.
• Sensibilize os colaboradores para estas táticas de ataque e forneça-lhes um canal para reportar e verificar pedidos urgentes de pagamento.
• Use MFA para adicionar uma camada extra de segurança.
• Implemente uma solução de segurança que estenda a proteção às ferramentas de colaboração.

Esquemas de phishing com tema do Facebook utilizam janelas de navegador falsas

Visão Geral: Esta campanha foi vista pela primeira vez no final de setembro de 2025. As mensagens alertam os destinatários de que estão a infringir direitos de autor no Facebook. O esquema parece convincente porque imita os e-mails de aviso legal legítimos do Facebook. As mensagens incluem um link para os supostos ‘Detalhes da Infringência,’ que é um formulário de phishing.

Para aceder aos detalhes da sua transgressão, os destinatários são solicitados a iniciar sessão na sua conta do Facebook. O formulário aparece dentro do que parece ser uma janela de navegador normal, mas é na verdade uma página web estática falsificada. Os atacantes capturam os dados de login do Facebook introduzidos pelo utilizador.

Como se manter seguro:

• Tenha cuidado com e-mails que o incentivem a clicar em links relacionados com questões legais sensíveis.
• Verifique a legitimidade do remetente e o conteúdo do e-mail antes de tomar qualquer outra ação.
• Use MFA para adicionar uma camada extra de segurança.
• Eduque os funcionários sobre as táticas de phishing e como reconhecê-las.

Como utilizar (∕) em vez de (/) pode fazer com que links maliciosos passem despercebidos na deteção

Visão Geral: Os analistas de ameaças descobriram que os atacantes estão a utilizar a barra de divisão (∕) em vez de uma barra normal (/) em links maliciosos para ajudá-los a evitar a deteção. (/) é um caractere Unicode que é usado principalmente em notação matemática.

A diferença quase imperceptível entre as barras divisórias e as barras inclinadas faz com que os sistemas e filtros de segurança automatizados tradicionais falhem, permitindo que os links escapem da deteção. Como resultado, as vítimas são redirecionadas para páginas predefinidas ou aleatórias. Abaixo estão alguns exemplos de links:

Como se manter seguro:

• Examine os links cuidadosamente, especialmente em e-mails que não estava à espera.
• Evite clicar em links que parecem invulgares ou que levam a páginas inesperadas.
• Mantenha as ferramentas de segurança de e-mail e web atualizadas para que possam detectar melhor URLs ofuscados ou enganosos.
• Eduque os funcionários sobre os riscos das técnicas de manipulação de links e incentive-os a reportar e-mails suspeitos.