Vishing e acesso remoto: o duplo vetor que dispara extorsões em gabinetes legais e entidades financeiras

Pesquisadores de segurança voltaram a documentar uma onda de extorsões dirigidas que combina técnicas de engenharia social por voz (vishing) com abuso de ferramentas legítimas de acesso remoto. Segundo as assinaturas que publicaram os achados, o grupo identificado como UNC3753, também conhecido na imprensa como Chatty Spider, Luna Moth ou Silent Ransom Group, tem explorado a confiança no suporte técnico corporativo para entrar em redes de escritório legal, serviços financeiros e assinaturas profissionais nos Estados Unidos entre janeiro e maio de 2026.

A tática central é simples e eficaz: criar um pretexto plausível via e-mail e fechar o tratamento por telefone. Correios sem links ou anexos, com temas de faturamento ou migração de dados, servem apenas para justificar uma chamada. Desde essa conversa, as vítimas são induzidas a iniciar sessões de partilha de ecrã e a instalar software legítimo como AnyDesk, Zoho Assist ou RMM comerciais, permitindo ao atacante mover-se dentro do ambiente como se fosse pessoal autorizado.

Mais preocupante ainda é a escalada descrita pelas autoridades: além do acesso remoto, em vários incidentes os atores têm enviado pessoal fisicamente aos escritórios fazendo passar por técnicos para extrair informações via unidades USB ou discos externos. Esse duplo vetor –social engineering remoto e presença física – reduz significativamente a eficácia de controles perimetrales e de autenticação.

As consequências para gabinetes jurídicos e instituições financeiras são particularmente graves. Estes objectivos concentram documentos que contêm segredos comerciais, acordos corporativos, declarações fiscais e dados pessoais sensíveis; a exposição desse material tem impactos regulatórios, reputacionais e contratuais que vão além do custo imediato de uma negociação com os extorsionadores.

Do ponto de vista técnico, o abuso de RMM e ferramentas de partilha de ecrã é eficaz por três razões: primeiro, são aplicações concebidas para dar controle remoto e são normalmente permitidas por políticas IT; segundo, sua instalação através de instruções guiadas por telefone passa por alto muitos alertas; terceiro, as transferências de arquivos através de utilitários legítimos como WinSCP ou Rclone são misturadas com tráfego legítimo e complicam a detecção. Além disso, o uso de serviços que enviam notas autodestruídas para transmitir instruções evita registros permanentes da engenharia social.

O que pode fazer uma organização hoje para reduzir o risco? Primeiro, tratar as chamadas de suporte técnico não solicitadas como incidentes potenciais: implemente uma política de verificação por canais separados (call-back a um número corporativo conhecido, verificação por ticket interno) e forme todo o pessoal para que nunca autorize instalações após uma única chamada. Em segundo lugar, limite e controle as ferramentas de acesso remoto: permita apenas soluções gerenciadas pela organização e aplique listas brancas de aplicações (AppLocker, políticas do MDM), bloqueio de instalações por contas administrativas não aprovadas e monitoramento centralizado de sessões remotas.

No âmbito físico, adicione o controle de visitantes e a gestão de técnicos externos: verificação prévia, credenciais verificáveis, acompanhamento físico e proibição de conectar dispositivos USB a máquinas com informações sensíveis. A nível de infra-estruturas, o implante de restrições para os meios removíveis através do GPO ou da configuração UEFI/firmware, e considere soluções de detecção precoce para novas ligações RDP/AnyDesk e para a execução de utilitários de transferência de ficheiros.

Preparação e resposta são chave: mantenha respaldos offline e imutávels, registre e congele logs relevantes (registro de acesso remoto, registros de e-mail, registros de MFA, logs de VPN/VDI, registros da plataforma de videoconferência), e tenha um plano de resposta que inclua assessoria legal e comunicação controlada com clientes. Após uma intrusão, preserve as evidências (imágenes forenses) e contacte as autoridades competentes; reportar e coordenar com entidades como o FBI ou agências de cibersegurança nacionais ajuda a traçar campanhas e a mitigar riscos regionais. Informações sobre fraudes por correio e recomendações gerais estão disponíveis no FBI: https://www.fbi.gov/scams-and-safety/common-scams-and-crimes/business-email-compromise, e guias práticas para resiliência contra ransomware e extorsão na CISA: https://www.cisa.gov/ransomware.

Finalmente, as organizações devem assumir que a autenticação por si só não basta contra ataques dirigidos que exploram o fator humano. Inverta em programas de sensibilização realistas (exercícios de vishing incluídos), simule incidentes de suporte técnico e reveja contratos com terceiros que tenham acesso remoto a sistemas sensíveis. A combinação de controles técnicos, procedimentos de verificação e vigilância física reduz a janela de oportunidade que os atores como UNC3753 exploram para converter uma chamada credível em uma fuga maciça de dados.