noticias

Golpe usa ChatGPT e Gemini falsos para roubar contas de anúncios e a senha é só o começo

**Páginas que prometem melhorar campanhas com inteligência artificial simulam janelas de login e capturam códigos de autenticação. Para agências, um único acesso comprometido pode colocar vários clientes em risco.**

Uma ferramenta de inteligência artificial promete analisar gastos, planejar campanhas e facilitar o trabalho de quem administra anúncios. A página parece profissional, a proposta faz sentido e o próximo passo soa familiar: conectar a conta. É nesse momento que uma oferta de produtividade se transforma em tentativa de roubo de acesso.

Em relatório publicado em 6 de outubro de 2026, pesquisadores da empresa de segurança Island detalharam uma operação de phishing que usa páginas falsas associadas a marcas como ChatGPT, Gemini, Claude e Perplexity. As ofertas fraudulentas são direcionadas a profissionais de publicidade digital e procuram capturar tanto credenciais quanto informações usadas na autenticação multifator.

O caso mostra como a confiança em marcas de IA pode ser explorada para obter acesso a operações comerciais. Para quem administra campanhas, as consequências podem alcançar orçamento, permissões e contas de clientes.

A janela parece legítima, mas faz parte da armadilha

A técnica identificada na investigação é conhecida como *browser-in-the-browser*, ou “navegador dentro do navegador”. Depois que o usuário escolhe conectar a conta, a página desenha uma janela de autenticação dentro de seu próprio conteúdo, reproduzindo elementos visuais que lembram um login legítimo.

A falsa janela pode apresentar um endereço confiável, embora o navegador verdadeiro continue no domínio controlado pelos criminosos. Essa distinção é fundamental: o endereço mostrado dentro da página também pode ser uma imitação. A aparência de uma janela de acesso não comprova sua origem.

Segundo a Island, operadores humanos acompanham as informações enviadas e decidem qual solicitação aparecerá em seguida. O fluxo pode pedir uma senha, um código recebido por SMS, uma sequência gerada por aplicativo autenticador ou uma aprovação de acesso. O relatório registra centenas de envios de vítimas, mas não estabelece quantas contas foram efetivamente comprometidas.

Por que o código de autenticação também pode ser roubado

A autenticação em duas etapas continua sendo uma proteção importante. O problema é que métodos baseados em códigos dependem de o usuário fornecer aquela informação ao serviço correto. Se a pessoa entrega a senha e o código a uma página falsa enquanto o criminoso tenta entrar na conta verdadeira, a etapa adicional pode ser contornada por engenharia social.

O código temporário não precisa permanecer válido por muito tempo para ser útil ao invasor. Basta que seja utilizado durante sua janela de validade. Por isso, receber uma solicitação de autenticação não significa, por si só, que o processo iniciado seja confiável.

A CISA, agência de segurança cibernética dos Estados Unidos, recomenda a adoção de autenticação multifator e destaca a importância de métodos resistentes a phishing. Entre eles estão mecanismos baseados em FIDO/WebAuthn, utilizados por passkeys e chaves de segurança compatíveis.

Esses recursos vinculam a autenticação à origem legítima do serviço por meio de verificações criptográficas. A proteção deixa de depender apenas de uma informação que o usuário possa copiar para um formulário fraudulento.

Ainda assim, a configuração completa precisa ser avaliada. O Google esclarece que criar uma chave de acesso não remove automaticamente outros fatores de autenticação ou recuperação. Métodos alternativos de entrada também merecem atenção, especialmente em contas corporativas.

Para uma agência, o risco acompanha as permissões

O alcance de uma invasão depende do que a identidade comprometida está autorizada a fazer. Um acesso destinado apenas à consulta de relatórios oferece possibilidades diferentes de uma conta com permissão para alterar campanhas, administrar usuários ou gerenciar vínculos.

Essa diferença ganha peso nas agências. Uma conta de administrador do Google Ads, conhecida como MCC, pode integrar a gestão de vários anunciantes. A própria documentação de recuperação da plataforma distingue incidentes em subcontas daqueles que atingem o nível da conta administradora.

Na avaliação da PixBugTech, essa concentração exige cuidado proporcional. A conveniência de reunir operações em um único acesso precisa vir acompanhada de limites de permissão, responsáveis identificados e revisão dos vínculos existentes.

O prejuízo também pode ultrapassar uma cobrança indevida. Campanhas interrompidas afetam a operação comercial, enquanto alterações desconhecidas exigem investigação e comunicação com clientes. Recuperar a capacidade de entrar na conta é uma etapa; restabelecer o controle sobre tudo o que foi modificado é outra.

O que fazer diante de uma suspeita

O Google orienta comunicar rapidamente um possível comprometimento ao suporte do Ads e reunir evidências do histórico de alterações. Inclusão de usuários desconhecidos, mudanças de orçamento e vínculos não reconhecidos são informações relevantes para a investigação.

A revisão deve alcançar usuários, contas vinculadas, perfis de pagamento e campanhas. A troca de senha, isoladamente, não substitui essa conferência. É necessário identificar acessos não autorizados e interromper atividades indevidas.

Também convém preservar notificações, horários e registros das mudanças. Um eventual reembolso depende da investigação e do processo de recuperação da conta; não deve ser tratado como consequência automática da denúncia.

Antes de autorizar uma nova ferramenta, a recomendação é confirmar sua procedência por um caminho independente, começando pelo site oficial do fornecedor. Para empresas e agências, definir quem pode aprovar integrações ajuda a evitar que uma decisão individual exponha toda a operação.

Análise da equipe

A adoção de IA está tornando a conexão entre serviços uma tarefa cada vez mais comum. Esse hábito pode diminuir a atenção dedicada a uma decisão importante: conceder acesso a recursos que sustentam o negócio.

A resposta precisa combinar treinamento e controles técnicos. Profissionais devem compreender o risco de janelas falsas, mas a segurança também exige permissões limitadas, autenticação resistente a phishing e revisão periódica de usuários e integrações.

Quanto mais ferramentas passarem a atuar sobre campanhas e orçamentos, mais relevante será conhecer o alcance de cada autorização. As perguntas decisivas são concretas: quem recebe o acesso, quais ações poderá executar e como a empresa poderá revogá-lo se surgir um problema.

👉 Dúvida? Então veja mais em: https://pixbugtech.com/linksuteis