Criminosos ligaram para funcionários da Apollo, gigante do mercado financeiro, fingindo ser suporte técnico. Em minutos, conseguiram senhas e códigos de segurança e vazaram nomes, endereços e documentos pessoais. O caso mostra que o maior risco na cibersegurança continua sendo o fator humano.
Clay Banks/Unsplash
Numa era em que ataques cibernéticos parecem envolver computadores poderosos e inteligência artificial, um dos casos mais recentes contra uma gigante do setor financeiro começou de um jeito simples e assustador: uma ligação telefônica.
A Apollo Global Management, uma das maiores empresas de investimentos do mundo, confirmou que seus sistemas foram invadidos entre 6 e 10 de julho de 2026. Os criminosos usaram uma técnica chamada engenharia social, ou seja, manipulação de pessoas para conseguir informações que deveriam ser seguras.
- O ataque durou apenas cinco dias, entre 6 e 10 de julho de 2026.
- Os criminosos ligaram para funcionários fingindo ser o setor de suporte técnico da própria empresa.
- Dados expostos incluem nome completo, endereço, data de nascimento e número de documento similar à CPF nos EUA.
- A mesma campanha de ataques atingiu empresas na América do Norte, Austrália e Reino Unido.
- A empresa pode ter investido milhões em tecnologia, mas o maior brecha foi um telefone e uma pessoa que respondeu.
O que foi vazado
Entre os dados que podem ter sido roubados estavam nomes completos, datas de nascimento, telefones, endereços residenciais e números de Social Security, que é o documento de identificação usado nos Estados Unidos, parecido com nosso CPF. Um número desses, em mãos erradas, pode ser usado para abrir contas, aplicar golpes e até clonar a identidade de uma pessoa.
O caso chama atenção não só pelo tamanho da empresa atingida, mas pela forma como os criminosos agiram. Não foi um furão digital complexo. Foi conversa de telefone.
Como o golpe foi feito
A campanha usa uma técnica chamada vishing, que é phishing por telefone. Em vez de mandar um e-mail falso, os criminosos ligam para o funcionário e se apresentam como alguém do suporte técnico da própria empresa.
O roteiro é direto: o falso técnico diz que há um problema com a senha, a verificação em dois passos ou o acesso do funcionário. Então, ele conduz a pessoa para uma página falsa ou pede que ela digite informações que caem direto nas mãos do atacante.
No caso mais grave, a ligação parecia ter saído do número real do suporte da empresa. Isso tornava a conversa ainda mais crível. Depois de pegar a senha, o criminoso ainda precisava vencer a verificação em dois passos, conhecida como MFA, que é aquele código que chega no celular para confirmar que é você mesmo.
Foi aí que a conversa no telefone voltou a agir. Enquanto a ligação continuava, o bandido convencia a vítima a ler em voz alta ou validar o código de segurança. Em segundos, a segunda camada de proteção virou a ferramenta que o invasor usou para entrar.
Um problema que vai além da Apollo
Esse incidente faz parte de uma onda de ataques que visa empresas de finanças, fundos de investimento e escritórios de serviços. Nações da América do Norte, Austrália e Reino Unido já viram campanhas com o mesmo roteiro de ligação falsa de suporte técnico.
A lição que fica é dura: gastar fortunas em tecnologia não apaga o risco de uma pessoa errada falar com o telefone na mão. Uma empresa pode ter barreira virtual, sistemas de detecção de invasão, inteligência artificial e uma equipe inteira de segurança. Mas se num telefonema de cinco minutos alguém entrega a senha, boa parte desse muro de proteção vira ilusão.
É a essência da engenharia social: em vez de quebrar a máquina, o atacante convence a pessoa que tem a chave a abri-la. E há outro problema ainda pior: o dado roubado não morre com o ataque. Ele fica valendo.
Nome, endereço, telefone, data de nascimento e documento podem ser costurados num golpe sob medida. Quanto mais o criminoso sabe de você, mais fácil ele faz você acreditar que está falando com um banco, um órgão público ou sua própria empresa.
Imagine receber uma ligação em que o atendente já te chama pelo nome completo, sabe onde você mora, sua data de aniversário e onde você trabalha. Para muita gente, isso já seria o bastante para confiar e entregar a senha.
Lições para empresas e para você
Por isso, um vazamento hoje vira munição para um golpe amanhã. Para as empresas, o caso ensina que o suporte interno precisa ser tratado como parte mais delicada da segurança. Mudar senha, redefinir verificação ou recuperá-la deve exigir camadas extras de confirmação.
É preciso ter protocolos claros: um técnico de verdade pede sua senha Ele pede um código por telefone Como o funcionário confirma que a ligação é realmente da área de tecnologia
Essas respostas têm de existir antes do ataque chegar. Treinamentos de simulação, testes de phishing, verificação resistente a fraude e atenção a acessos estranhos são medidas que já ajudam a fechar esse buraco.
Mas a mudança mais urgente é cultural. Durante anos, segurança de informação foi vista como problema só da área de tecnologia. Hoje isso não funciona mais. Do diretor ao estagiário, qualquer pessoa com um login corporativo pode ser a porta que o atacante empurra.
O ataque mais perigoso usa apenas um telefone
O caso Apollo mostra que a complexidade de um ataque não se mede só pela tecnologia. Às vezes, o golpe mais eficiente não precisa de um vírus novo, de uma falha secreta ou de uma inteligência artificial de ponta.
Precisa de um telefone, uma história convincente e alguém disposto a acreditar. Na segurança digital, gastamos muito para reforçar as paredes. O problema é que os criminosos descobriram que, em muitos casos, é mais fácil pedir a quem está dentro que abra a porta.
Enquanto o fator humano continuar sendo tratado como o elo fraco demais na estratégia de proteção, a engenharia social continuará provando exatamente o contrário: ela não é fraca, é a mais forte.
