CAPTCHA falso rouba senhas: o golpe que engana seu time

Se você acha que um funcionário treinado nunca cairia num golpe óbvio, tenho uma má notícia: os ataques mais recentes não parecem golpes. Eles se disfarçam de coisas cotidianas — um teste de "não sou um robô", uma mensagem do suporte de TI no Teams, uma tela de bloqueio idêntica à do Windows. E funcionam justamente porque imitam ações que a gente executa no piloto automático.

Pesquisadores de segurança identificaram recentemente duas novas famílias de programas maliciosos, apelidadas de WordlistLoader e SynkLoader. Ambas têm o mesmo objetivo: roubar senhas e abrir uma porta dentro da rede da sua empresa. E o que elas revelam sobre o comportamento dos criminosos vale mais atenção do que qualquer ferramenta específica.

O golpe do "cole este comando aqui"

A técnica ganhou o nome de ClickFix e é assustadoramente simples. A vítima acessa um site legítimo — que foi invadido sem o dono perceber — e se depara com uma verificação parecida com aquelas de CAPTCHA. Ao clicar em "não sou um robô", em vez de resolver um quebra-cabeça, a pessoa recebe uma instrução: copie este texto e cole na caixa "Executar" do Windows.

Quem faz isso sem pensar acaba baixando e rodando o programa malicioso com as próprias mãos. Não é preciso explorar nenhuma falha do sistema. O usuário faz todo o trabalho sujo, acreditando que está apenas passando por uma etapa de segurança.

Uma vez dentro da máquina, esse tipo de vírus vasculha os navegadores atrás de senhas salvas, cookies de sessão, carteiras de criptomoedas e arquivos na pasta de downloads. Estima-se que cerca de 150 mil sistemas tenham sido expostos a essa campanha desde 2025.

O detalhe técnico mais preocupante é que esses códigos são desenhados para escapar dos antivírus tradicionais. Em vez de gravar um arquivo suspeito no disco, o programa reconstrói suas instruções direto na memória, escondendo pedaços do próprio código em listas de palavras comuns. Ou seja: contar apenas com o antivírus não basta.

O falso suporte de TI no Teams

O segundo golpe é ainda mais direcionado a ambientes corporativos. Nele, alguém entra em contato pelo Microsoft Teams se passando por suporte técnico — usando, inclusive, um e-mail com domínio que parece oficial da Microsoft. A conversa é convincente, o tom é prestativo, e o objetivo é convencer a vítima a instalar um "limpador de sistema".

O que é instalado, na verdade, é um kit de invasão. Um dos módulos mais criativos abre uma tela de bloqueio idêntica à do Windows, em tela cheia, que não fecha até a pessoa digitar a senha corporativa. Pronto: a credencial é entregue diretamente ao criminoso. A ferramenta ainda ativa controle remoto e transmissão de tela, permitindo que os atacantes naveguem pela rede interna a partir daquele computador.

Esse tipo de acesso costuma ser vendido para grupos de ransomware. Ou seja, o invasor inicial não quer necessariamente destruir nada — ele quer abrir a porta e revender a chave para quem vai cobrar o resgate depois.

O que a sua empresa pode fazer na prática

A boa notícia é que golpes que dependem da ação do usuário são combatidos com uma combinação de disciplina técnica e treinamento. Não existe bala de prata, mas há medidas concretas e baratas:

• Treine o time para desconfiar da caixa "Executar". Nenhum CAPTCHA legítimo pede para colar comandos no Windows. Se apareceu essa instrução, é golpe. Ponto.
• Bloqueie a execução de scripts por contas sem privilégio administrativo. Assim, mesmo que alguém cole o comando, o sistema barra a execução. Essa política é configurável e faz diferença enorme.
• Restrinja quem pode instalar programas. Usuários comuns não deveriam conseguir instalar "limpadores" e ferramentas baixadas por conta própria.
• Estabeleça um canal oficial de suporte. Se todo mundo sabe que o suporte real nunca liga pedindo senha nem manda instalar arquivo pelo Teams, o falso técnico perde o poder.
• Ative o duplo fator de autenticação. Mesmo que uma senha vaze, o segundo fator dificulta bastante o acesso do criminoso.
• Monitore comportamento, não só arquivos. Como esses ataques rodam na memória, vale investir em ferramentas que observam ações suspeitas, como conexões de controle remoto inesperadas.

Na minha experiência, o elo mais frágil raramente é a tecnologia — é a rotina. As empresas que menos sofrem com esse tipo de ataque são as que combinam configurações restritivas com uma cultura simples: na dúvida, ninguém executa nada e todo mundo pergunta antes. Um minuto de conversa com o time de TI custa muito menos do que uma semana de operação parada por ransomware.