Três golpes noticiados nas últimas semanas têm o mesmo alvo: escritórios e empresas que lidam com dados de clientes. Nenhum deles depende de uma falha técnica sofisticada. Todos exploram confiança, pressa e o hábito de clicar.
1. Falso advogado, agora com inteligência artificial
O golpe do falso advogado ficou mais convincente. Os criminosos buscam pessoas com processos em andamento e entram em contato pelo WhatsApp usando nome, foto e número de OAB reais, dados verdadeiros do processo e, em alguns casos, voz clonada por IA. O objetivo é convencer o cliente a fazer um Pix para "liberar" uma indenização.
Como se proteger: avise seus clientes, por escrito, que o escritório nunca pede pagamento por número novo. Qualquer pedido deve ser confirmado pelo telefone de sempre. Se alguém cair no golpe, a orientação é registrar boletim de ocorrência, guardar os comprovantes e pedir ao banco o Mecanismo Especial de Devolução (MED) do Pix o quanto antes.
2. Convite de reunião falso
Pesquisadores da Check Point identificaram uma campanha com convites de calendário que imitam reuniões do Teams e do Outlook. O link leva a uma página que rouba a senha do Microsoft 365. Mais de 40 mil organizações foram alvo. Um detalhe torna o golpe mais perigoso: em alguns programas de e-mail, o evento é adicionado à agenda automaticamente e continua lá mesmo depois que o e-mail é apagado.
Como se proteger: recebeu um convite inesperado? Confirme com quem enviou, por outro canal, antes de clicar. Nunca digite sua senha a partir de um link de reunião. Para a TI: revisar se convites externos entram na agenda automaticamente e remover os eventos maliciosos junto com os e-mails.
3. O código que entrega a conta
Esse é o mais traiçoeiro. A vítima recebe um suposto documento para assinar e é orientada a digitar um código numa página que é, de fato, da Microsoft. Só que o código foi gerado pelo golpista. Ao concluir o login, inclusive a autenticação em dois fatores, a vítima entrega ao criminoso acesso ao e-mail, ao OneDrive e ao SharePoint, sem que ele precise da senha.
Como se proteger: nunca digite um código de login que outra pessoa enviou, mesmo que a página seja legítima. Para a TI: bloquear esse tipo de login (fluxo de código de dispositivo) no acesso condicional do Microsoft Entra, onde ele não for necessário, e revogar as sessões de qualquer conta suspeita, porque só trocar a senha pode não bastar.
O que esses golpes têm em comum
Os três passam por cima de ferramentas de segurança contando com um clique ou uma decisão rápida. Por isso a defesa combina duas frentes: configuração correta do Microsoft 365 ou do Google Workspace e orientação da equipe e dos clientes.
Fontes: Mirante News / Imirante (20/10/2026); Check Point, via eSecurity Planet (20/10/2026); MailGuard, via KW Corporation (out/2026).