Fornecedor Europeu de Segurança Alvo de Hackers que se Passam por Domínio Cisco

A campanha não é só mais um phishing genérico: ela explora uma cadeia de confiança quebrada em três níveis, e-mail autenticado (DKIM replay), infraestrutura legítima comprometida (Cisco Secure Email Gateway com CVE-2025-20393 ativamente explorada) e serviços de rastreamento e proxy usados contra si mesmos (Nylas + Cloudflare). O fato de os e-mails do JP Morgan terem assinaturas DKIM válidas não significa que vieram do banco, mas que foram capturados e reenviados, técnica já observada em ataques reais desde fevereiro de 2026. A Cisco corrigiu a falha crítica em janeiro, mas muitos ambientes ainda rodavam versões não atualizadas, deixando portas abertas para que links maliciosos fossem hospedados *dentro* do próprio gateway de e-mail seguro.

O uso do Kratos PhaaS mostra a profissionalização do crime: não há necessidade de habilidade técnica para montar o ataque. Basta acessar o painel, escolher a isca (JP Morgan), configurar o redirecionamento via Nylas e entregar a página falsa protegida por Cloudflare, que, embora ofereça detecção avançada de phishing, não bloqueia automaticamente domínios novos ou legítimos que passaram por onboarding limpo. Isso transforma provedores de segurança em facilitadores involuntários quando mal configurados ou explorados em cadeia.

Empresas que confiam cegamente em DKIM, DMARC ou em 'soluções de e-mail seguro' como barreira final estão expostas, esta campanha prova que autenticação não é garantia de origem, e que ferramentas legítimas viram armas quando integradas sem controle de fluxo. O custo médio de uma violação por phishing supera US$ 4,8 milhões, e 90% dos ataques de roubo de credenciais até o final de 2026 usarão kits PhaaS como o Kratos. Para equipes de segurança, o alerta é claro: monitorar logs de email gateway, auditar integrações de rastreamento (como Nylas), e exigir MFA *forçado* no Microsoft 365, não apenas habilitado, são medidas mínimas agora.