Uma sofisticada campanha de cibersegurança utilizou uma página falsa que imitava o portal de downloads da WatchGuard para capturar credenciais de redes corporativas. A fraude, descoberta por analistas da Huntress, enganava administradores ao solicitar dados confidenciais de acesso antes de entregar o instalador real do software, reduzindo drasticamente as chances de detecção.
Como funcionava a estratégia de roubo de senhas
O esquema veio à tona após a identificação de movimentações atípicas envolvendo um profissional de tecnologia vinculado a um provedor de serviços gerenciados. De acordo com o levantamento, a vítima buscou pelo programa de acesso remoto no mecanismo de busca Bing e acabou direcionada a um endereço fraudulento que copiava fielmente o visual da marca oficial.
Na página falsa voltada ao Mobile VPN with SSL, o usuário era obrigado a preencher campos com o endereço do servidor, nome de usuário e senha. Toda essa informação sensível, em vez de servir para a configuração do sistema, era enviada diretamente a um servidor sob o controle dos criminosos.
Mecanismo de dupla captura de dados
Para garantir o sucesso da empreitada, o script malicioso deliberadamente invalidava o primeiro envio, limpando os campos preenchidos. Com isso, a vítima inseria as credenciais novamente, permitindo que os invasores obtivessem múltiplas tentativas de captação das senhas corporativas.
Dados coletados pela investigação apontam que o domínio principal da fraude foi registrado em 22 de agosto de 2026, enquanto a infraestrutura de coleta surgiu em 14 de setembro do mesmo ano. Um endereço similar já havia sido mapeado pela WatchGuard em janeiro, embora sem a presença de um sistema funcional de captura na época.
O uso de instaladores legítimos para evitar alertas
O grande diferencial da operação estava na etapa seguinte ao roubo de dados: após capturar as informações, o portal falso iniciava o download do software diretamente da rede oficial da WatchGuard. O arquivo baixado correspondia à versão 12.11.5 do Mobile VPN with SSL e continha uma assinatura digital válida datada de 4 de novembro de 2025.
A auditoria realizada confirmou que o executável não sofreu nenhuma alteração. Essa tática diferencia o golpe de ataques tradicionais que disseminam arquivos modificados ou malwares detectáveis por softwares de proteção de endpoints, já que o uso de um programa legítimo mascarava a atividade suspeita.
A intervenção da equipe de operações de segurança ocorreu rapidamente, disparando alertas apenas 21 segundos após o carregamento da página falsa. O domínio principal foi derrubado em 13 de outubro, embora especialistas ressaltem que isso não garante a desativação completa de toda a rede criminosa.
Medidas preventivas para empresas
Como o golpe ocorre diretamente no navegador durante o preenchimento do formulário, as organizações devem adotar protocolos rígidos de proteção. As recomendações incluem a imediata redefinição de credenciais comprometidas, a implementação rigorosa da autenticação multifator e auditorias nos registros de acesso à VPN.
