Alerta Cibernético Brasil: Phishing Avançado, Ransomware e Vulnerabilidades Críticas em SAP Ameaçam Empresas Nacionais

Meta descrição: Análise urgente sobre phishing VoidProxy, ransomware INC e falhas críticas em SAP S/4HANA que impactam empresas brasileiras em Setembro de 2025.

Em um cenário de cibersegurança cada vez mais complexo e dinâmico, as empresas brasileiras se veem constantemente desafiadas por novas e sofisticadas ameaças. Setembro de 2025 trouxe à tona incidentes que reforçam a urgência de uma postura proativa e robusta em defesa digital. Destacamos três frentes de ataque que exigem atenção imediata de CISOs, gestores de TI e equipes de segurança: a emergência da operação de phishing VoidProxy, a persistência e alcance do ransomware INC Ransom, e vulnerabilidades críticas sob ataque ativo em sistemas SAP S/4HANA, amplamente utilizados no país.

A inteligência de ameaças recente indica uma escalada na sofisticação dos ataques, com cibercriminosos explorando não apenas falhas técnicas, mas também a engenharia social aprimorada por Inteligência Artificial e focando na cadeia de suprimentos de serviços de TI. A capacidade de adaptação dos adversários exige das organizações uma agilidade equivalente na implementação de defesas e na capacitação contínua de suas equipes. A negligência em qualquer uma dessas áreas pode resultar em perdas financeiras catastróficas, danos reputacionais irreparáveis e sérias implicações de compliance, especialmente sob o rigor da Lei Geral de Proteção de Dados (LGPD) no Brasil.

Este artigo visa fornecer uma análise aprofundada desses riscos emergentes, seu impacto potencial no contexto brasileiro e, mais importante, recomendações práticas para fortalecer a resiliência cibernética da sua organização. É crucial que as empresas entendam que a cibersegurança não é apenas um custo, mas um investimento estratégico essencial para a continuidade dos negócios e a proteção de seus ativos mais valiosos: dados e confiança.

⚡ Resumo Executivo

• Phishing Avançado: Operação VoidProxy usa táticas adversary-in-the-middle para roubar credenciais e tokens MFA de contas Microsoft 365 e Google.
• Ransomware Global: INC Ransom atinge governos e grandes empresas, evidenciando a crescente ameaça do Ransomware-as-a-Service (RaaS) e comprometendo dados sensíveis.
• Vulnerabilidade Crítica SAP: Sistemas SAP S/4HANA estão sob ataque ativo devido a falhas críticas, exigindo aplicação de patches urgentes e revisão de configurações de segurança.
• Impacto no Brasil: Setores financeiro, governamental e infraestrutura crítica são os mais visados, com riscos elevados de conformidade com a LGPD e regulamentações setoriais (BACEN, PCI-DSS).

Ameaça VoidProxy: A Nova Geração do Phishing com Ataques Adversary-in-the-Middle

A segurança das credenciais e da autenticação multifator (MFA) tem sido uma pedra angular na defesa contra acessos não autorizados. No entanto, a recente ascensão da operação de phishing VoidProxy, descoberta em meados de setembro de 2025, demonstra que os cibercriminosos estão evoluindo suas táticas para contornar até mesmo as proteções mais robustas. Esta campanha sofisticada tem como alvo principal contas de serviços amplamente utilizados no ambiente corporativo, como Microsoft 365 e Google Workspace, o que a torna uma ameaça de alto impacto para a maioria das organizações.

Diferente das campanhas de phishing tradicionais, que tentam apenas coletar credenciais estáticas, o VoidProxy emprega técnicas adversary-in-the-middle (AiTM). Em um ataque AiTM, o ator da ameaça atua como um intermediário entre a vítima e o serviço legítimo. Quando a vítima tenta fazer login, todas as comunicações, incluindo o nome de usuário, senha e até mesmo os códigos de MFA e tokens de sessão, são interceptadas pelo atacante. Isso significa que, mesmo com a MFA habilitada, o atacante pode capturar os tokens de sessão válidos gerados após a autenticação bem-sucedida, permitindo-lhes persistir no acesso à conta da vítima sem precisar da senha ou do código de MFA em futuras tentativas.

A eficácia do VoidProxy reside em sua capacidade de criar páginas de login falsas altamente convincentes, muitas vezes indistinguíveis das originais, e na utilização de domínios maliciosos que simulam legitimidade. A engenharia social é aprimorada, tornando os e-mails e mensagens de phishing mais difíceis de detectar. Os temas mais comuns incluem avisos de segurança de conta, atualizações de serviço obrigatórias, convites para reuniões ou compartilhamento de documentos, tudo para induzir o usuário a clicar em um link malicioso. Uma vez que o usuário interage com a página falsa, o proxy AiTM entra em ação, roubando as informações em tempo real.

O roubo de tokens de sessão é particularmente perigoso porque permite que os invasores ignorem completamente os desafios de MFA, que são projetados para frustrar ataques baseados em credenciais roubadas. Com um token de sessão, o atacante pode acessar a conta como se fosse o usuário legítimo, acessando e-mails, arquivos, calendários e outras informações sensíveis, potencialmente por um longo período, antes que a atividade incomum seja detectada.

Para as empresas, a proliferação de ataques como o VoidProxy significa que as defesas tradicionais de e-mail e conscientização sobre phishing precisam ser complementadas por tecnologias mais avançadas. A detecção de anomalias no comportamento de login, a análise de headers de e-mail aprofundada e a implementação de políticas de acesso condicional que avaliam o contexto do login (dispositivo, localização, IP) tornam-se essenciais. Além disso, a adoção de MFA resistente a phishing, como chaves de segurança físicas (FIDO2/WebAuthn), é a forma mais eficaz de mitigar esse vetor de ataque, pois esses métodos criam uma ligação criptográfica com o domínio legítimo, impedindo a intermediação por um proxy malicioso.

Ransomware INC Ransom Atinge Governos e Empresas em Ampla Escala

O cenário de ransomware continua a ser uma das maiores ameaças cibernéticas para organizações em todo o mundo. A recente admissão de um incidente de segurança pelo Ministério da Economia e Finanças do Panamá, em 12 de setembro de 2025, atribuído ao grupo INC Ransom Ransomware-as-a-Service (RaaS), serve como um lembrete vívido da gravidade e do alcance dessas operações. Embora o alvo principal do ataque no Panamá tenha sido uma estação de trabalho, o grupo alegou o roubo de mais de 1.5 TB de dados sensíveis, incluindo e-mails, informações orçamentárias e arquivos financeiros. A capacidade do grupo de comprometer dados tão críticos, mesmo que de um único ponto, ilustra a fragilidade da segurança perimetral e a necessidade de uma defesa em profundidade.

O modelo Ransomware-as-a-Service (RaaS) permitiu que grupos como o INC Ransom expandissem drasticamente suas operações, tornando o ransomware acessível a um leque maior de cibercriminosos e impulsionando a profissionalização do crime cibernético. O INC Ransom, que surgiu há mais de dois anos, já impactou uma variedade de entidades proeminentes globalmente, incluindo grandes redes de varejo (Ahold Delhaize), empresas de tecnologia (Xerox Business Solutions, Yamaha Motor), organizações de saúde (McLaren Health Care, NHS Scotland) e até mesmo associações profissionais (Texas State Bar). Essa diversidade de alvos sublinha a natureza indiscriminada das operações RaaS, que buscam qualquer vulnerabilidade para explorar e monetizar.

A tática de dupla extorsão, onde os dados são primeiro exfiltrados e depois criptografados, é uma marca registrada de muitos grupos de ransomware modernos, incluindo o INC Ransom. Isso significa que, mesmo que uma organização consiga restaurar seus sistemas a partir de backups, ela ainda enfrenta a ameaça de divulgação pública de dados sensíveis, o que pode levar a multas regulatórias, perda de reputação e litígios. No caso do Panamá, a suposta exfiltração de e-mails e documentos financeiros ressalta o valor que esses dados têm para os atacantes, tanto para venda quanto para pressionar o pagamento do resgate.

A resiliência contra ransomware exige mais do que simplesmente backups. As organizações devem implementar estratégias abrangentes que incluam:

• Segmentação de Rede: Isolar sistemas críticos para limitar a movimentação lateral de atacantes.
• Privilégio Mínimo: Restringir o acesso dos usuários e sistemas apenas aos recursos estritamente necessários.
• Hardening de Sistemas: Configurar sistemas e aplicações de forma segura, removendo funcionalidades desnecessárias e aplicando patches regularmente.
• Monitoramento Contínuo: Detectar atividades suspeitas rapidamente para conter ataques antes que causem danos extensos.
• Planos de Resposta a Incidentes: Ter um plano bem definido e testado para responder a ataques de ransomware, minimizando o tempo de inatividade e os danos.

Ainda não há informações sobre a CVE específica ou os vetores de ataque detalhados utilizados no incidente do Ministério da Economia e Finanças do Panamá, mas a natureza dos grupos RaaS geralmente envolve exploração de vulnerabilidades conhecidas em softwares e sistemas, credenciais comprometidas (muitas vezes obtidas via phishing) e falhas na higiene cibernética básica. A lição é clara: a vigilância constante e a implementação de controles de segurança multicamadas são indispensáveis para resistir a essa ameaça persistente.

Vulnerabilidade Crítica em SAP S/4HANA Sob Ataque Ativo: Um Alerta para o Brasil

Os sistemas de Enterprise Resource Planning (ERP) são a espinha dorsal de inúmeras operações empresariais em todo o mundo, e no Brasil não é diferente. Soluções como o SAP S/4HANA gerenciam processos críticos que vão desde finanças e contabilidade até produção, logística e gestão de recursos humanos. A notícia de que uma vulnerabilidade crítica no SAP S/4HANA está sob ataque ativo desde 5 de setembro de 2025, sem uma CVE publicamente divulgada no momento, é um alerta vermelho para todas as organizações que dependem dessa plataforma. A ausência de um identificador CVE imediato pode indicar que a exploração está ocorrendo no modelo de zero-day ou que a divulgação técnica completa ainda está em andamento, aumentando a urgência da mitigação.

A exploração de uma vulnerabilidade em um sistema ERP pode ter consequências devastadoras. O acesso não autorizado ao SAP S/4HANA pode permitir que atacantes:

• Manipulem Dados Financeiros: Alterar registros contábeis, realizar transações fraudulentas, ou desviar fundos.
• Interrompam Operações Críticas: Paralisar cadeias de suprimentos, processos de produção ou sistemas de faturamento.
• Exfiltrem Dados Sensíveis: Acessar informações de clientes, fornecedores, funcionários (incluindo dados pessoais e financeiros), segredos comerciais e propriedade intelectual.
• Comprometam a Integridade dos Dados: Introduzir informações falsas ou corromper dados críticos, levando a decisões de negócios erradas e impactos operacionais.

Dada a centralidade do SAP S/4HANA nas operações de grandes e médias empresas brasileiras, especialmente nos setores financeiro, de serviços, manufatura, varejo e utilities, essa ameaça é de extrema relevância local. Bancos, indústrias, e até mesmo órgãos governamentais que utilizam essas soluções, estão diretamente expostos. Um comprometimento em tais sistemas não só causaria interrupções operacionais e perdas financeiras, mas também levantaria sérias questões de conformidade com a LGPD, o Código de Defesa do Consumidor, e regulamentações específicas do setor, como as circulares do Banco Central para instituições financeiras.

A ausência de uma CVE imediata não deve levar à complacência. Pelo contrário, reforça a necessidade de as equipes de segurança de TI estarem em contato constante com a SAP para obter informações sobre patches e mitigações, além de realizar verificações proativas em seus ambientes. É fundamental que as empresas implementem uma estratégia de gerenciamento de vulnerabilidades robusta, que inclua:

• Vigilância Ativa: Monitorar continuamente avisos de segurança da SAP e de órgãos reguladores.
• Análise de Risco Acelerada: Avaliar rapidamente o impacto de novas vulnerabilidades em seus ambientes específicos.
• Aplicação de Patches: Priorizar e aplicar patches de segurança de forma ágil, minimizando janelas de exposição.
• Segmentação de Redes e Controle de Acesso: Limitar o acesso aos sistemas SAP apenas a usuários e sistemas autorizados e segmentar a rede para conter possíveis violações.
• Monitoramento de Integridade: Implementar ferramentas de monitoramento de integridade de arquivos e auditoria de logs para detectar alterações não autorizadas em sistemas SAP.
• Testes de Invasão e Varreduras de Vulnerabilidade: Realizar testes regulares para identificar e corrigir falhas antes que sejam exploradas por atacantes.

A proteção de sistemas ERP complexos exige uma abordagem multifacetada e contínua. As empresas devem investir em treinamento de equipes especializadas em segurança SAP e em ferramentas que permitam a visibilidade e o controle necessários sobre esses ambientes críticos.

🇧🇷 Impacto no Cenário Brasileiro

Os incidentes de VoidProxy, INC Ransom e as vulnerabilidades em SAP S/4HANA possuem um eco particular no Brasil, devido à digitalização acelerada e ao cenário regulatório em constante amadurecimento. A combinação desses fatores cria um ambiente de alto risco para empresas de todos os portes.

No contexto brasileiro, a prevalência de ataques de phishing é notória. A tática VoidProxy, que burla a MFA, representa um salto na sofisticação para cibercriminosos que já exploram a engenharia social como principal vetor. Setores como o financeiro, com seus vastos bancos de dados de clientes e transações, e o de e-commerce, com a alta demanda por interações online, são alvos primários. A facilidade de acesso a ferramentas RaaS, como o INC Ransom, também democratiza o crime cibernético, permitindo que grupos menos sofisticados realizem ataques de grande impacto. Empresas de infraestrutura crítica (energia, água, telecomunicações) e órgãos governamentais são particularmente vulneráveis a ataques de ransomware, pois a interrupção de seus serviços pode causar caos social e econômico.

A questão das vulnerabilidades em SAP S/4HANA atinge o cerne das grandes corporações e multinacionais que operam no Brasil. Muitas dessas empresas investem pesadamente em sistemas SAP para gerenciar suas operações complexas. Um ataque bem-sucedido pode levar ao roubo de dados corporativos estratégicos, informações de clientes e funcionários (dados PII), e interrupção completa da cadeia de valor. O impacto em bancos, indústrias manufatureiras e empresas de serviços que utilizam SAP seria imenso.

Contexto Regulatório (LGPD, BACEN, PCI-DSS):

• LGPD (Lei Geral de Proteção de Dados): Todos os três tipos de incidentes têm implicações diretas com a LGPD. O roubo de credenciais via VoidProxy e a exfiltração de dados pelo INC Ransom representam vazamentos de dados pessoais passíveis de multas severas. A LGPD exige que as empresas adotem medidas de segurança técnicas e administrativas para proteger os dados pessoais. A falha em corrigir vulnerabilidades críticas em sistemas como o SAP, que processam dados pessoais, seria uma clara violação. A notificação de incidentes à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares dos dados é mandatória, com prazos apertados e requisitos de detalhamento.

• BACEN (Banco Central do Brasil): Para o setor financeiro, que é um alvo preferencial de todas essas ameaças, as regulamentações do BACEN, como as Resoluções CMN 4.893 e 4.658 (que tratam da cibersegurança e contratação de serviços de nuvem, respectivamente), impõem requisitos rigorosos de segurança e resiliência. Ataques de phishing que comprometem credenciais bancárias ou ransomware que afeta a disponibilidade de sistemas financeiros são cenários de alto risco que podem resultar em sanções regulatórias pesadas. A capacidade de demonstrar controles robustos e resposta rápida é crucial.

• PCI-DSS (Payment Card Industry Data Security Standard): Empresas que processam, armazenam ou transmitem dados de cartões de pagamento no Brasil estão sujeitas ao PCI-DSS. Um incidente de segurança decorrente de phishing, ransomware ou vulnerabilidades em sistemas ERP que manipulam dados de pagamento pode levar a não conformidade, multas, perda da capacidade de processar cartões e danos severos à reputação.

Em resumo, o cenário brasileiro exige uma abordagem multifacetada e culturalmente adaptada à cibersegurança. A educação e conscientização dos funcionários são tão importantes quanto as soluções tecnológicas avançadas, e a conformidade regulatória deve ser vista como um pilar fundamental da estratégia de segurança, não apenas um custo.

🔒 Recomendações Práticas da Coneds

Para enfrentar as ameaças de phishing avançado, ransomware e vulnerabilidades críticas em sistemas corporativos, a Coneds recomenda as seguintes ações concretas:

1. Ação Imediata (1-3 dias): MFA Resistente a Phishing e Varredura de Vulnerabilidades em SAP: Implemente e force o uso de MFA resistente a phishing (e.g., FIDO2/WebAuthn) para todas as contas de alto privilégio e usuários de serviços Microsoft 365/Google Workspace. Realize varreduras urgentes nos ambientes SAP S/4HANA para identificar e mitigar a vulnerabilidade crítica, mesmo sem CVE oficial.
2. Curto Prazo (1-4 semanas): Fortalecimento da Higiene Cibernética e Segmentação de Rede: Revise políticas de backup (modelo 3-2-1), isole backups críticos em redes separadas. Reforce a segmentação de rede para todos os sistemas críticos, especialmente ERPs e infraestrutura de AD/identidade, limitando a movimentação lateral em caso de comprometimento.
3. Médio Prazo (1-3 meses): Programa de Conscientização Continuada e Treinamento Avançado: Desenvolva e implemente um programa de conscientização de segurança robusto, com simulações de phishing AiTM, para educar os funcionários sobre as táticas mais recentes. Capacite equipes de segurança com treinamentos específicos em resposta a incidentes de ransomware e segurança de aplicações SAP.
4. Estratégia Long-term (6-12 meses): Arquitetura Zero Trust e Gerenciamento de Exposição: Adote os princípios de Zero Trust para todos os acessos (usuários, dispositivos, aplicações). Implemente plataformas de Gerenciamento de Superfície de Ataque Exposta (EASM) e Gerenciamento de Postura de Segurança na Nuvem (CSPM) para monitorar e reduzir continuamente a exposição a ameaças e vulnerabilidades.
5. Governança: Plano de Resposta a Incidentes Atualizado e Testado: Crie ou atualize um Plano de Resposta a Incidentes (PRI) que contemple cenários de ransomware e vazamento de dados, realizando exercícios de mesa e simulados anuais para toda a liderança e equipe de TI/Segurança.
6. Treinamento: Certificações e Desenvolvimento Contínuo de Equipes: Invista na formação e certificação de sua equipe em segurança da informação, cobrindo áreas como segurança de nuvem, análise de malware, engenharia social e segurança de sistemas ERP, como SAP.

❓ Perguntas Frequentes

P: Como o VoidProxy difere de um ataque de phishing comum e como posso me proteger?

R: O VoidProxy utiliza a técnica adversary-in-the-middle (AiTM), interceptando não apenas credenciais, mas também códigos MFA e tokens de sessão em tempo real. Isso o torna mais perigoso que o phishing tradicional, pois pode contornar MFA baseada em códigos. Para se proteger, use MFA resistente a phishing (chaves de segurança físicas FIDO2/WebAuthn), que criam uma ligação criptográfica com o domínio legítimo, e mantenha um programa contínuo de conscientização com simulações de phishing AiTM.

P: Qual o principal impacto do INC Ransom no Brasil e como a LGPD se aplica?

R: O INC Ransom, como outros grupos RaaS, visa exfiltrar e criptografar dados sensíveis, incluindo informações pessoais e financeiras. No Brasil, isso gera um risco direto de violação da LGPD. As empresas podem enfrentar multas severas, danos à reputação e a obrigação de notificar a ANPD e os titulares dos dados afetados. É crucial ter backups robustos e isolados, segmentação de rede e um plano de resposta a incidentes de ransomware bem definido.

P: Minha empresa usa SAP S/4HANA. O que devo fazer sobre a vulnerabilidade crítica mencionada?

R: Dada a ausência de uma CVE oficial divulgada em 18 de setembro de 2025, mas com a indicação de ataques ativos, é fundamental monitorar de perto os avisos de segurança da SAP. Realize imediatamente varreduras de vulnerabilidade em seus ambientes SAP, implemente as últimas recomendações de segurança da SAP e esteja preparado para aplicar patches assim que forem liberados. Fortaleça os controles de acesso e a segmentação de rede para proteger o sistema contra explorações.

Conclusão

O cenário de cibersegurança em Setembro de 2025 exige uma atenção redobrada das empresas brasileiras. A sofisticação crescente de ataques como o VoidProxy, a persistência e o modelo de negócio do INC Ransom, e as vulnerabilidades críticas em plataformas essenciais como SAP S/4HANA, ilustram a necessidade de uma abordagem estratégica e contínua em segurança. Não se trata mais apenas de prevenir, mas de construir resiliência e capacidade de resposta rápida. A negligência pode levar a consequências graves, desde perdas financeiras e operacionais até sanções regulatórias sob a LGPD e perda irreparável da confiança de clientes e parceiros.

A Coneds, como líder em educação em cibersegurança no Brasil, enfatiza que a tecnologia por si só não é suficiente. É fundamental investir em pessoas, capacitando as equipes de TI e segurança com o conhecimento e as habilidades necessárias para identificar, mitigar e responder a essas ameaças. A formação contínua, a atualização de processos e a adoção de melhores práticas são o caminho para proteger os ativos digitais da sua organização e garantir a continuidade dos negócios em um mundo digital cada vez mais hostil. Não espere um incidente para agir; a proatividade é sua melhor defesa.

---

📚 Aprenda mais: Eleve a postura de segurança da sua equipe com os treinamentos especializados da Coneds em Defesa Contra Ransomware e Segurança de Aplicações Críticas. Visite coneds.com.br e descubra como podemos ajudar sua empresa a construir uma defesa cibernética robusta e adaptável. 🔗 Fontes:

• SC Media: "VoidProxy phishing operation targets Microsoft 365, Google accounts" (September 15, 2025). Disponível em: https://www.scworld.com/news/voidproxy-phishing-operation-targets-microsoft-365-google-accounts
• SC Media: "Data security incident admitted by Panama Ministry of Economy and Finance" (September 12, 2025). Disponível em: https://www.scworld.com/brief/data-security-incident-admitted-by-panama-ministry-of-economy-and-finance
• Dark Reading: "Critical SAP S/4HANA Vulnerability Under Attack, Patch Now" (September 5, 2025). Disponível em: https://www.darkreading.com/vulnerabilities-threats/sap-4hana-vulnerability-under-attack
• Artigo sobre Ransomware 2024: https://www.scworld.com/feature/ransomware-2024-a-year-of-tricks-traps-wins-and-losses
• Artigo sobre o aumento das preocupações com IA: https://www.scworld.com/news/ransomware-takes-a-back-seat-to-ai-on-it-administrator-worry-lists