Campanha de phishing em larga escala usa nome da Boots para roubar dados de 8,9 milhões

A campanha da Boots não é um ataque isolado, é um exemplo clássico de 'phishing-as-infrastructure': os criminosos não usaram servidores próprios, mas invadiram um servidor RDWeb Access exposto de uma pequena empresa britânica e o transformaram em uma fábrica de e-mails maliciosos. Instalaram o Gammadyne Mailer (ferramenta legítima de e-mail em massa) e dispararam 8,9 milhões de mensagens diretamente pela conexão da vítima, mascarando totalmente sua origem. A página de checkout foi hospedada em um domínio governamental boliviano comprometido, tática que engana filtros de reputação e aumenta a taxa de conversão.

O kit usado ('dracii.mmp') já circula desde julho de 2025 e já foi adaptado para golpes HMRC e Solana. Isso mostra que os atacantes operam como um serviço: reutilizam infraestrutura, templates e fluxos de coleta em múltiplas campanhas, com foco em escalabilidade, não em sofisticação técnica. Não há IA gerando texto aqui, é phishing manual, porém industrializado, com logística refinada.

Em abril de 2026, a CEVIU já havia reportado o uso crescente de 'phishing com código de dispositivo' para bypass de MFA no Microsoft 365. Agora, em junho, vemos um salto tático: o mesmo grupo de ameaça romeno trocou o foco em contornar autenticação por token por um modelo mais simples, mas mais escala, roubo direto de credenciais via checkout falso. Enquanto as campanhas anteriores exigiam acesso a ambientes corporativos para extrair tokens, essa opera inteiramente do lado do usuário final, sem depender de exploração avançada. É menos técnico, mas muito mais barato e replicável.

Essa operação prova que a maior vulnerabilidade não está no e-mail corporativo, mas na exposição acidental de serviços internos, como RDWeb Access, que viram plataformas de ataque. Um único servidor mal configurado, sem autenticação forte nem restrição de rede, pode ser usado para atingir quase 9 milhões de pessoas. E isso acontece enquanto 82,6% dos e-mails de phishing hoje são gerados por IA, ou seja, ataques como esse, embora manuais, estão sendo eclipsados por uma onda ainda mais perigosa: a automação massiva de engenharia social com custo quase zero.