Cibercriminosos usam expectativa em torno de IPO da SpaceX para aplicar golpes em investidores
Pesquisadores da Proofpoint identificaram uma nova campanha sofisticada de phishing conduzida pelo grupo de ameaças TA2730, que está se aproveitando da forte expectativa em torno de um possível IPO (oferta pública inicial de ações) da SpaceX para roubar credenciais de acesso de investidores e clientes de instituições financeiras.
Segundo a Proofpoint, os golpistas estão se passando por plataformas de investimento conhecidas, como CommSec e FSM One, com foco em usuários localizados principalmente na Austrália e em Cingapura. As mensagens fraudulentas chegam por e-mail e se apresentam como convites exclusivos para que o destinatário se candidate à elegibilidade de compra de ações da SpaceX, explorando o entusiasmo gerado por aquilo que poderia ser uma das estreias mais esperadas do mercado de capitais.
O conteúdo desses e-mails é cuidadosamente elaborado para parecer legítimo. Os textos utilizam tom profissional, elementos visuais similares aos de instituições reais e, em alguns casos, dados que remetem ao perfil do investidor, com o objetivo de aumentar a sensação de autenticidade. Ao acreditar estar diante de uma oportunidade rara de investimento em uma empresa de Elon Musk, muitas vítimas acabam clicando nos links incluídos na mensagem.
Ao seguir o link, o usuário é direcionado para páginas de login falsas, que imitam com grande fidelidade os portais de autenticação de corretoras e plataformas financeiras. Esses sites clonados são projetados especificamente para capturar nomes de usuário, senhas e, em alguns casos, outros dados sensíveis, como respostas a perguntas de segurança ou números de documentos. Uma vez de posse dessas informações, os criminosos podem acessar diretamente contas de investimento e serviços bancários das vítimas.
Essa operação marca uma mudança importante na forma de atuação do TA2730. Historicamente, o grupo era conhecido por explorar temas ligados ao formulário fiscal norte-americano W-8BEN, usado por investidores estrangeiros com aplicações nos Estados Unidos. Nessa abordagem tradicional, as iscas envolviam supostas atualizações fiscais, exigências regulatórias ou regularização de dados para não sofrer retenções de impostos, tudo com o intuito de convencer o usuário a fornecer suas credenciais de acesso.
Na nova campanha, porém, o grupo abandona o tema tributário e aposta em um gatilho emocional diferente: o medo de “ficar de fora” de uma grande oportunidade de investimento. Essa mudança de estratégia indica que os criminosos estão acompanhando de perto o noticiário econômico e tecnológico, adaptando rapidamente suas táticas para explorar eventos com grande apelo junto ao público.
O caso reforça um movimento mais amplo observado por especialistas em segurança da informação: o uso de acontecimentos de alto impacto no mercado financeiro, na tecnologia e em grandes empresas como ferramentas de engenharia social. Rumores sobre fusões, aquisições, listagens em bolsa, anúncios de novos produtos ou mudanças regulatórias se tornam rapidamente iscas para campanhas de phishing direcionadas a investidores, executivos e profissionais do setor.
Para o usuário comum, o risco é duplo. Além da perda direta de acesso a contas de investimento ou bancárias, os dados capturados em um golpe desse tipo podem ser reutilizados em ataques posteriores, como tentativas de invasão a outros serviços onde a vítima utilize as mesmas credenciais. Em cenários mais graves, as informações podem ainda ser combinadas com outros dados vazados para a montagem de perfis completos usados em fraudes de identidade.
A recomendação dos especialistas é que qualquer mensagem envolvendo oportunidades de compra de ações, pré-venda de IPOs ou ofertas “exclusivas” de investimento seja recebida com extrema cautela, especialmente quando chegar por e-mail ou por canais não solicitados. É essencial verificar se a comunicação foi realmente enviada pela instituição financeira com a qual o usuário mantém relacionamento, dando preferência ao acesso direto ao site ou aplicativo oficial, em vez de clicar em links recebidos.
Outro ponto fundamental é desconfiar sempre de mensagens que transmitam senso de urgência, pressão para tomada de decisão imediata ou promessa de acesso privilegiado a oportunidades que supostamente só estariam disponíveis por tempo limitado. Esse tipo de narrativa é típico de golpes de engenharia social, justamente porque reduz o tempo de reflexão e leva o investidor a agir por impulso.
As próprias instituições financeiras têm papel central na mitigação desse tipo de ameaça. Boas práticas incluem campanhas contínuas de conscientização com seus clientes, adoção de canais de comunicação claros e padronizados, mecanismos robustos de autenticação em dois fatores e monitoramento de tentativas de login suspeitas. A adoção de ferramentas de detecção de phishing e de proteção avançada de e-mail também contribui para reduzir a superfície de ataque.
Do ponto de vista corporativo, empresas do setor financeiro e de tecnologia precisam considerar que campanhas como a vinculada ao suposto IPO da SpaceX tendem a se multiplicar sempre que surgem notícias relevantes no mercado. Grandes ofertas públicas, reorganizações societárias, entrada de startups “da moda” em bolsas de valores e crescimento de setores como inteligência artificial e criptomoedas são temas altamente atraentes para golpistas.
Por isso, a preparação não pode ser reativa, limitada a responder a incidentes específicos. É necessário estruturar programas de segurança que combinem tecnologia, processos e treinamento contínuo de pessoas. Isso inclui ensinar funcionários e clientes a reconhecer os sinais mais comuns de phishing, simular campanhas internas para avaliação de maturidade e criar rotinas claras para denunciar mensagens suspeitas.
Do lado do investidor pessoa física, algumas medidas práticas ajudam a reduzir significativamente o risco de cair em fraudes desse tipo:
– Nunca inserir login ou senha a partir de links recebidos por e-mail ou mensagens instantâneas;
– Digitar manualmente o endereço do site da corretora ou salvá-lo em favoritos, sempre conferindo se o endereço está correto;
– Habilitar autenticação em dois fatores nos serviços financeiros, dando preferência a aplicativos de autenticação em vez de SMS, quando possível;
– Verificar no próprio portal oficial da corretora se há, de fato, qualquer tipo de pré-reserva ou comunicação sobre IPOs;
– Desconfiar de promessas de acesso a investimentos “antes do grande público” ou com condições muito mais vantajosas que as divulgadas oficialmente.
A campanha atribuída ao TA2730 também evidencia como grupos criminosos estão se tornando mais profissionais na construção de suas iscas. Eles dominam conceitos de marketing digital, conhecem o vocabulário do mercado financeiro e acompanham o calendário econômico global para escolher o momento mais favorável aos golpes. Essa combinação de conhecimento técnico e compreensão de comportamento humano torna a engenharia social uma das armas mais perigosas no cibercrime atual.
No médio e longo prazo, a tendência é que futuras ofertas públicas de grandes empresas, especialmente aquelas ligadas a tecnologia, espaço, inteligência artificial, energia limpa e outros setores em alta, sejam exploradas em campanhas semelhantes. Isso torna indispensável que investidores, analistas e profissionais da área incorporem a verificação de legitimidade de comunicações como parte integrante da sua rotina diária de trabalho.
A Proofpoint, empresa responsável pela identificação dessa campanha, atua globalmente com foco em segurança cibernética centrada em pessoas e agentes, ajudando organizações a proteger a forma como usuários, dados e sistemas de inteligência artificial interagem por meio de e-mail, nuvem e ferramentas de colaboração. Sua plataforma é utilizada por milhares de empresas de diferentes portes para combater ameaças, evitar vazamentos de dados e elevar o nível de resiliência dos usuários frente a ataques que exploram o fator humano.
No cenário atual, em que a fronteira entre notícia, boato e oportunidade real de investimento se torna cada vez mais difusa e rápida, a capacidade de distinguir comunicações legítimas de tentativas de fraude passa a ser tão importante quanto saber analisar balanços, prospectos e fundamentos de uma empresa. Em outras palavras, a segurança digital deixa de ser um tema apenas técnico para se tornar um componente essencial da gestão de riscos no mercado financeiro.
Enquanto o IPO da SpaceX permanece no campo das expectativas e especulações, uma certeza já se impõe: qualquer tema capaz de mobilizar a atenção de milhões de pessoas tende a ser, também, um prato cheio para a criatividade dos cibercriminosos. Cabe a cada investidor, empresa e instituição reforçar suas defesas, adotar uma postura crítica diante de convites “irrecusáveis” e lembrar que, em segurança da informação, desconfiar é uma das formas mais eficazes de se proteger.