Descoberta e escopo
Um grupo de extorsão recém-identificado chamado Pink emergiu como uma ameaça séria para organizações empresariais, usando táticas de engenharia social para roubar credenciais de armazenamento em nuvem e dados sensíveis. O grupo, rastreado sob o código de cluster CL-CRI-1147, lançou seu site dedicado de vazamento de dados em 31 de maio de 2026 e já listou várias vítimas iniciais. Equipes de segurança em todas as indústrias estão em alerta máximo, pois as táticas do grupo provam ser altamente eficazes contra organizações bem defendidas.
O Pink opera com uma estratégia clara e calculada. Em vez de implantar malware tradicional, o grupo confia em phishing de voz, também conhecido como vishing, para obter acesso inicial às redes corporativas. Os atacantes se passam por funcionários de TI internos por telefone, enganando funcionários para visitarem páginas de phishing controladas pelos atacantes onde entregam inadvertidamente suas credenciais de login e códigos de autenticação multifator.
Táticas de engenharia social
Analistas da Unit 42 identificaram e divulgaram o grupo em um relatório compartilhado com a Cyber Security News. Pesquisadores notaram que o Pink parece estar afiliado à rede Com mais ampla, uma comunidade solta de cibercriminosos conhecida por campanhas agressivas de engenharia social. O grupo também compartilha semelhanças táticas com outros atores de ameaças bem conhecidos, como Lapsus$, Scattered Spider e ShinyHunters, sugerindo um manual compartilhado entre essas comunidades.
Uma vez que o Pink obtém acesso à conta de um funcionário, os atacantes se movem rapidamente. Eles usam as próprias ferramentas de automação da Microsoft para varrer ambientes de armazenamento em nuvem, drenando arquivos das pastas do OneDrive e SharePoint em minutos. Com os dados roubados em mãos, o grupo recorre a contas comprometidas para enviar mensagens internas do Microsoft Teams e e-mails exigindo pagamento, dando aos executivos uma janela apertada de 72 horas para responder.
Infraestrutura e domínios
O grupo também mostra sinais de ser uma possível rebranding de uma operação mais antiga. Analistas do Google Threat Intelligence Group avaliaram que, após a marca BlackFile ser aposentada em maio de 2026, o grupo pode ter operado brevemente como Redact antes de surgir novamente como Pink. Essa padrão de rebranding é comum entre equipes de extorsão sofisticadas que buscam evitar o rastreamento.
Os atacantes direcionam as vítimas para domínios de phishing como passkeydeploy.com e deploypasskey.com, onde cookies de sessão são capturados, permitindo que o grupo contorne o MFA inteiramente sem precisar da senha da vítima novamente. Além do roubo de credenciais, o Pink também usa técnicas sem arquivo para permanecer oculto dentro de ambientes comprometidos, executando pequenos comandos de código que constroem seu payload diretamente na memória temporária do computador.
Recomendações de defesa
Os especialistas em segurança instam as organizações a adotar uma abordagem prática e centrada nas pessoas para se defenderem contra grupos como o Pink. Os funcionários devem ser treinados para verificar independentemente qualquer chamada inesperada de TI antes de seguir instruções, especialmente quando solicitados a visitar um link ou inserir credenciais. As equipes de help desk devem ter procedimentos estritos de verificação de identidade que não possam ser contornados apenas por pressão social.
No lado técnico, as organizações são aconselhadas a migrar de MFA de senha única padrão para métodos de autenticação resistentes a phishing, como chaves de hardware FIDO2. As equipes de segurança devem monitorar ambientes de nuvem para picos incomuns de downloads de arquivos, revisar concessões de token OAuth e permissões de API, e bloquear domínios de phishing conhecidos ligados à infraestrutura do Pink. Implantar ferramentas de monitoramento comportamental que sinalizem transferências de dados grandes e repentinas antes que saiam da rede também pode fazer uma diferença crítica.