Pesquisadores da ANY.RUN passaram as últimas semanas documentando um kit de phishing chamado EvilTokens, ativo desde pelo menos fevereiro de 2026 e vendido por canais do Telegram, que esconde suas páginas de roubo de credenciais do Microsoft 365 atrás de criptografia real de nível de navegador. A técnica, que os analistas estão chamando de ghost phishing, distribui a página maliciosa como texto cifrado AES-GCM junto com um pequeno descriptografador em JavaScript, e nada que se pareça com uma página de phishing existe até que o próprio navegador da vítima execute esse script e chame a Web Crypto API para renderizá-la. Gateways de e-mail seguros, sandboxes de URL e scanners estáticos que inspecionam uma página sem executar seu JavaScript veem apenas um bloco opaco de dados e algumas linhas de código de descriptografia genérico. A campanha atingiu organizações dos setores financeiro, de consultoria e manufatureiro nos Estados Unidos e na Europa, e os dados de sandbox da ANY.RUN colocam a exposição ao phishing em 2026 em 75,6% em consultoria e 72,8% em serviços financeiros, os dois setores onde o ghost phishing está batendo mais forte.
Como o Ghost Phishing Funciona
Um kit de phishing convencional envia seu formulário de login como HTML puro no momento em que um scanner ou navegador solicita a página, o que é exatamente o que permite que defesas automatizadas o detectem: buscar a URL, ler o markup, sinalizar a marca falsa da Microsoft e o campo de senha. O EvilTokens pula essa etapa. O conteúdo real da página, o formulário de login com a marca, os rótulos dos campos, as instruções, é criptografado no lado do cliente com AES-GCM antes mesmo de tocar a rede. O que um scanner recebe ao solicitar a URL é texto cifrado que não significa nada por si só, envolto em uma pequena rotina de descriptografia escrita em JavaScript comum que chama a Web Crypto API, um recurso embutido em todo navegador moderno para operações criptográficas legítimas. Somente quando esse script realmente é executado, dentro de um navegador real, com uma chave incorporada na página ou entregue separadamente, o texto cifrado se transforma em um formulário de phishing funcional dentro do DOM. Uma ferramenta que busca a URL e lê a resposta bruta, o que descreve a maioria dos scanners estáticos e muitos verificadores de links de gateways de e-mail seguros, nunca vê essa transformação acontecer e classifica a página como limpa.
Combinado com Phishing de Código de Dispositivo para o Golpe Final
O EvilTokens não para em esconder seu formulário de login. A campanha frequentemente combina ghost phishing com o fluxo de código de dispositivo OAuth 2.0 da Microsoft, o mesmo padrão de abuso por trás dos kits DEBULL e ARToken que este boletim cobriu em 11 de julho. Uma vítima que chega à página descriptografada é guiada a inserir um código de dispositivo na página real de login da Microsoft, aprovando o que parece ser um aviso de autenticação rotineiro. O backend do atacante, consultando em segundo plano, recebe um token de acesso válido no instante em que a vítima clica em aprovar, sem senha roubada, sem página de captura de credenciais que um defensor possa apontar depois. O ghost phishing resolve o problema da entrega, fazendo a isca passar pela varredura automatizada, e o abuso de código de dispositivo resolve o problema da credencial, obtendo uma sessão funcional sem nunca precisar de uma senha.
Por Que Isso Importa para o DMARC
DMARC, SPF e DKIM respondem a uma pergunta: essa mensagem trafegou por infraestrutura que o proprietário do domínio autorizou a enviar em seu nome? Eles não dizem nada sobre para onde um link dentro dessa mensagem leva, e nunca foram projetados para isso. Um e-mail de ghost phishing pode ser enviado de infraestrutura genuinamente comprometida, de um serviço de envio legítimo mas abusado, ou de um domínio sem nenhuma autenticação, e a aplicação do DMARC do lado do destinatário vai distinguir corretamente qual desses casos é. O que o DMARC não consegue tocar é a carga útil por trás do link depois que a mensagem passa por essa verificação. Gateways de e-mail seguros historicamente fecharam parte dessa lacuna buscando e inspecionando as páginas vinculadas no momento da entrega ou do clique, que é exatamente a camada que o ghost phishing foi projetado para cegar. A mensagem pode estar perfeitamente autenticada, ou perfeitamente rejeitada, independentemente de a URL dentro dela levar a algo perigoso. São duas perguntas defensivas separadas, e o EvilTokens é um lembrete de que resolver uma não toca a outra.
O Que os Defensores Devem Fazer
Mudar a inspeção de links de uma busca estática para uma renderização completa. Um scanner precisa executar o JavaScript da página e observar o DOM resultante, não apenas ler a resposta HTTP inicial, para ver no que uma página de ghost phishing realmente se transforma. A proteção no momento do clique, que detona URLs em um sandbox de navegador instrumentado, detecta isso onde uma verificação estática de conteúdo não consegue.
Restringir o fluxo de autenticação por código de dispositivo. Políticas de Acesso Condicional podem limitar ou desabilitar o login por código de dispositivo OAuth para usuários que não precisam dele, o que remove o mecanismo de recompensa do qual o EvilTokens depende, mesmo que a isca em si passe.
Observar cargas úteis de página criptografadas ou ofuscadas como um sinal por si só. Uma página de destino cujo corpo de resposta é texto cifrado ilegível mais um script mínimo de descriptografia é um padrão incomum para sites legítimos e vale a pena ser sinalizado por si só, independentemente do que o conteúdo descriptografado se revele ser.
Manter a aplicação do DMARC em reject e tratá-la como uma camada, não como toda a pilha. Um DMARC rigoroso continua impedindo o caso muito mais comum de alguém de fora falsificando seu domínio abertamente. Ele nunca seria a camada que detectaria uma carga útil criptografada viajando sobre infraestrutura legítima ou comprometida, e nenhum ajuste de DMARC muda isso.
A Conclusão
O ghost phishing não quebra o DMARC, o SPF nem o DKIM. Ele mira em um elo completamente diferente da cadeia: a inspeção automatizada de conteúdo em que os gateways de e-mail seguros confiam para julgar se uma URL é segura antes que um humano chegue a clicar. Criptografar a carga útil até que ela chegue a um navegador real é uma resposta direta e deliberada a scanners que só olham respostas HTTP brutas. Autenticação de e-mail e inspeção de conteúdo de links resolvem problemas diferentes, e o EvilTokens é uma demonstração clara de por que uma organização precisa que ambos funcionem, não que um cubra o outro.
A Excello Mail te dá visibilidade contínua sobre seus relatórios agregados de DMARC e sobre cada fonte autorizada a enviar como seu domínio, para que a autenticação continue sendo uma camada de defesa em que você realmente pode confiar enquanto sua equipe reforça o resto da pilha contra truques como cargas de phishing criptografadas. Cadastre-se gratuitamente na Excello Mail para ter essa visibilidade em vigor.