Cibercriminosos não estão mais dependendo apenas de truques de e-mail simples. Ao longo do primeiro trimestre de 2026, os atacantes têm refinado sua abordagem usando páginas de CAPTCHA e técnicas ClickFix para impulsionar operações de roubo de credenciais em uma escala alarmante. Durante o Q1 de 2026, a Microsoft Threat Intelligence rastreou aproximadamente 8,3 bilhões de ameaças de phishing baseadas em e-mail entre janeiro e março, com phishing de credenciais permanecendo como o objetivo dominante durante o período.
Descoberta e escopo da ameaça
A tendência mais reveladora foi o aumento acentuado no phishing com CAPTCHA, que mais que dobrou em março, atingindo 11,9 milhões de ataques, o maior volume visto em mais de um ano. À medida que os defensores se tornaram melhores em capturar e-mails de phishing simples, os atacantes migraram para truques de engenharia social em camadas que misturam verificações de segurança falsas com páginas que parecem legítimas para enganar usuários e scanners automatizados.
O que torna essa onda particularmente preocupante é a rapidez com que as táticas evoluem. Os atores de ameaças rotacionaram ativamente formatos de entrega de arquivos HTML para anexos SVG, PDF e documentos Word em apenas semanas uns dos outros, experimentando para encontrar o que passou pelos filtros de e-mail mais efetivamente.
Vetor e exploração
Até o final do trimestre, anexos PDF emergiram como o veículo mais comum para conteúdo de phishing com CAPTCHA, crescendo 356% em março após meses de declínio constante. Essa rápida rotação de tipos de sinaliza que os atacantes estão executando experimentos quase em tempo real contra sistemas de segurança de e-mail. A Microsoft identificou e rastreou várias dessas campanhas em detalhes, observando como os atores de ameaças combinaram desafios de CAPTCHA falsos com manipulação estilo ClickFix para contornar controles de segurança convencionais.
Em ataques ClickFix, um prompt de CAPTCHA falso engana os usuários para copiarem e executarem um comando malicioso em seu próprio dispositivo, sob a falsa impressão de que estão completando uma etapa de verificação humana. Isso remove a necessidade de downloads de malware tradicionais, já que a vítima executa o código do atacante sem saber.
Impacto e alcance
Uma das campanhas mais impressionantes do Q1 de 2026 foi uma grande campanha de três dias entre 23 e 25 de fevereiro de 2026, que entregou mais de 1,2 milhão de mensagens de phishing para usuários em mais de 53.000 organizações em 23 países. Os atacantes enviaram e-mails com anexos de arquivo SVG com nomes criados para combinar com o tema do e-mail, como notificações de fatura falsa, alertas de pagamento, lembretes de atualização 401K e notificações de mensagem de voz.
Quando um destinatário abria o arquivo SVG anexado, o navegador carregava silenciosamente e buscava conteúdo de domínios controlados pelos atacantes, apresentando uma tela de CAPTCHA de "verificação de segurança" falsa. Uma vez que o usuário completava a verificação falsa, era redirecionado para uma página de login falsificada projetada para roubar credenciais de conta.
Repercussão e tendências
A plataforma Tycoon2FA de phishing-as-a-service (PhaaS), rastreada pela Microsoft como Storm-1747, permaneceu um jogador central nesse espaço durante o Q1 de 2026, embora sua influência na paisagem de phishing com CAPTCHA enfraquecesse ao longo do trimestre. Enquanto o Tycoon2FA hospedava mais de três quartos de todos os sites de phishing com CAPTCHA no final de 2025, essa participação caiu para apenas 41% em março de 2026, mostrando que mais atores de ameaças e kits de phishing estão adotando a mesma técnica.
Outras plataformas como Kratos e EvilTokens também hospedaram páginas de phishing finais, indicando uma fragmentação do ecossistema de PhaaS e uma maior diversificação das táticas de ataque.
Medidas de mitigação recomendadas
A Microsoft recomenda que as organizações atuem em várias frentes para reduzir a exposição a essas ameaças. Os usuários devem ser treinados através de simulações de phishing e programas de conscientização regulares para que possam reconhecer desafios de CAPTCHA falsos e anexos de e-mail suspeitos antes de agir. As organizações devem habilitar Safe Links e Safe Attachments no Microsoft Defender for Office 365, ativar a purgação automática de hora zero (ZAP) para quarentenar mensagens maliciosas retroativamente e ativar a proteção de rede no Microsoft Defender for Endpoint.
O que os CISOs devem fazer imediatamente
Métodos de autenticação sem senha, como chaves FIDO ou Microsoft Authenticator, devem ser implantados sempre que possível, enquanto políticas de acesso condicional devem impor autenticação multifator resistente a phishing para contas privilegiadas. Por fim, a habilitação de interrupção automática de ataque no Microsoft Defender XDR pode ajudar a conter ataques enquanto dá mais tempo às equipes de segurança para responder. A implementação de MFA resistente a phishing é crítica para mitigar o risco de roubo de credenciais.