Pesquisadores da Check Point Software afirmam que mais de 40.000 e-mails de phishing foram enviados nas últimas duas semanas, explorando o recurso de reescrita de links seguros da Mimecast para mascarar URLs maliciosas
No mundo hiperconectado, processos críticos que antes exigiam idas ao cartório, trocas de documentos físicos e etapas manuais se resolvem com poucos cliques. Essa conveniência, ainda que traga eficiência para bancos, mercado imobiliário, seguros e rotinas corporativas, também amplia a superfície de ataque. Em novo alerta, pesquisadores expõem como e-mails de phishing estão explorando exatamente essa confiança em serviços SaaS de compartilhamento de arquivos e assinatura eletrônica para enganar usuários e burlar filtros automatizados.
Segundo os especialistas, “Os pesquisadores de segurança de e-mail da Check Point Software acabam de descobrir uma campanha de phishing em que atacantes se passam por serviços de compartilhamento de arquivos e assinatura eletrônica para distribuir iscas com tema financeiro parecendo notificações legítimas.” O golpe se apoia em páginas e mensagens que imitam Microsoft SharePoint e plataformas de e-signature, reproduzindo a aparência oficial para induzir o clique.
O volume e o alcance chamam a atenção. Em duas semanas, os criminosos operaram em escala global. Como aponta o relatório, “Neste incidente, os cibercriminosos enviaram mais de 40.000 e-mails de phishing direcionados a aproximadamente 6.100 empresas ao redor do mundo nas últimas duas semanas.” Para reforçar a credibilidade técnica dos disparos, o tráfego foi encapsulado por domínios reconhecidos pelos gateways de segurança.
Os links maliciosos passaram por uma rota calculada para inspirar confiança. De acordo com os pesquisadores, “Todos os links maliciosos foram direcionados por meio do endereço [https[:]//url[.]za[.]m[.]mimecastprotect[.]com], aumentando a confiança ao imitar fluxos de redirecionamento já conhecidos.” Esse detalhe é crítico para entender por que tantos e-mails de phishing escaparam das barreiras tradicionais.
Como funcionou a campanha e por que ela dribla defesas
O núcleo técnico do ataque explora um mecanismo legítimo, a reescrita de links de uma solução amplamente usada. Os analistas explicam que “Os cibercriminosos exploraram o recurso de reescrita de links seguros da Mimecast, usando-o como uma cortina de fumaça para que seus links parecessem legítimos e autenticados.” Como o domínio envolvido é considerado confiável em muitas organizações, o disfarce ajuda a reduzir alertas, elevando as chances de clique.
Para completar a farsa, os golpistas investiram em engenharia social visual e textual. O relatório detalha: “Para ampliar a credibilidade, os e-mails copiaram visuais oficiais dos serviços (logos da Microsoft e de produtos Office), usaram cabeçalhos e rodapés no estilo do serviço e botões “revisar Documento”, além de falsificarem nomes de exibição como “X via SharePoint (Online)”, “eSignDoc via Y” e “SharePoint”, combinando de perto com padrões autênticos de notificação.” Ao ver mensagens aparentemente rotineiras e alinhadas a processos de negócio, muitas vítimas tendem a prosseguir com o fluxo.
O resultado é uma combinação perigosa de credenciais visuais e infraestrutura legítima, que, quando somadas, elevam a taxa de sucesso do golpe. É por isso que os e-mails de phishing permanecem entre as principais portas de entrada para fraudes financeiras e sequestro de contas corporativas.
DocuSign em foco: variante com redirecionamento ainda mais camuflado
Além da operação principal que imita MS SharePoint e serviços de assinatura, os pesquisadores mapearam uma segunda frente menor, mas relacionada, direcionada a quem usa DocuSign. A diferença está no encadeamento de redirecionamentos e na forma como a URL final é ocultada.
O estudo contrasta as duas abordagens. Na ofensiva mais ampla, “Na campanha principal, o redirecionamento secundário funciona como um redirecionamento aberto, deixando a URL final de phishing visível na sequência de consulta, mesmo estando envelopada por serviços considerados confiáveis.” Já no golpe que finge ser DocuSign, a trilha é mais opaca e tecnicamente sofisticada.
Os especialistas detalham o percurso dessa variante: “Na variante com tema da DocuSign, o link passa por uma URL do Bitdefender GravityZone e depois pelo serviço de rastreamento de cliques da Intercom, com a verdadeira página de destino totalmente encoberta atrás de um redirecionamento com identificação exclusiva. Essa abordagem oculta completamente a URL final, tornando a variante que imita o DocuSign ainda mais camuflada e difícil de ser detectada.” Para filtros automatizados e usuários apressados, a análise do destino real torna-se significativamente mais complexa.
Como reduzir o risco agora, do usuário ao SOC
Para mitigar o avanço de e-mails de phishing com esse perfil, equipes de segurança devem revisar políticas de URL rewriting, tratar open redirects como sinal de alerta e ajustar a inspeção de cliques que chegam encapsulados por serviços confiáveis. Onde possível, habilite verificações de reputação em múltiplas camadas, reforçando detecções comportamentais e não apenas a confiança no domínio intermediário.
No nível do usuário, a orientação é desconfiar de chamados urgentes para ação, especialmente mensagens que pedem para revisar documentos ou aprovar transações. Em caso de dúvida, acesse o SharePoint, o DocuSign ou o sistema corporativo diretamente pelo aplicativo ou pelo atalho oficial, nunca pelo link do e-mail. Verifique também nomes de exibição como “X via SharePoint (Online)” ou variações semelhantes, que podem ter sido forjadas para parecer legítimas.
Por fim, é recomendável intensificar campanhas de treinamento contra phishing, revisar regras de filtro de conteúdo e fortalecer autenticações com MFA em contas de alto risco. Diante de campanhas que abusam de serviços conhecidos, a melhor defesa combina tecnologia, processos de validação fora do e-mail e cultura de segurança. Com esses cuidados, organizações e usuários reduzem a probabilidade de cair em e-mails de phishing cada vez mais convincentes.