E-mails de phishing geralmente tentam parecer algo que o destinatário já conhece. Uma campanha descrita em 12 de outubro de 2026 na cobertura da ISMG vai muito além: em vez de imitar um evento existente, o ator de ameaças inventou um completo, com local, programação, lista de palestrantes, categorias de ingressos e pacotes de patrocínio. A Proofpoint, a empresa de segurança que rastreia o grupo por trás da operação como TA586, o descreve como um corretor de acesso inicial para ransomware, ou seja, seu trabalho é abrir a porta por onde outras quadrilhas entram depois.
A conferência que nunca existiu
O site promovia o BioTold como uma conferência de biotecnologia de dois dias em 5 e 6 de novembro no Omni Boston Hotel at the Seaport, prometendo que cada palestrante seria um profissional em atividade compartilhando histórias reais em primeira pessoa. O nível de detalhe era o objetivo. O site afirmava que os organizadores escolheram Boston porque a cidade tem a comunidade de biotecnologia mais densa do planeta, listava uma palestra de abertura do geneticista de Harvard George Church e exibia patrocínios de empresas como a Thermo Fisher Scientific junto a um conselho consultivo de cientistas ligados a instituições como o Broad Institute.
Nada dessa credibilidade emprestada era real. Quando repórteres contataram as pessoas e organizações citadas no site, a maioria dos patrocinadores, conselheiros e palestrantes listados disse que nunca tinha ouvido falar da conferência e que não tinha envolvimento com ela. Um porta-voz do Wyss Institute confirmou que George Church não vai palestrar no BioTold, mas sim em uma conferência real no Hynes Convention Center. O hotel apontado como sede também disse que não tem qualquer vínculo com o evento e recebeu uma onda de ligações sobre ele, incluindo consultas sobre disponibilidade de quartos. O site ainda vendia ingressos a 149 dólares para quem comprasse cedo e 299 dólares para a entrada geral, com patrocínios de 5.000 a 25.000 dólares, embora vender assentos não fosse o objetivo.
Como funcionava a cadeia do ataque
Segundo os pesquisadores, o site em si não foi projetado para distribuir malware. Sua função era fazer os convites por e-mail parecerem legítimos. O TA586 enviava mensagens convidando destinatários a palestrar ou patrocinar o evento. Quando alguém demonstrava interesse, o seguimento continha uma URL diferente que levava a um download de malware. Os pesquisadores associaram links personalizados de seguimento e downloads de arquivos ZIP à operação, e observaram que o TA586 pode se sobrepor a um grupo de cibercriminosos que outra empresa batizou de ZipLine. A Proofpoint viu o domínio do BioTold em sua telemetria durante uma atividade de convites fraudulentos em junho de 2026 e observou atividade renovada nas semanas antes do relatório de outubro. Até agora, nenhuma infecção confirmada ligada à conferência falsa foi reportada.
A estrutura merece atenção porque divide o engano em camadas. O e-mail não carrega a carga maliciosa. O site também não. Apenas uma resposta humana, um sinal de interesse, desbloqueia o link malicioso. Isso torna a campanha quase imune à filtragem puramente baseada em conteúdo, porque o artefato perigoso aparece somente depois que a conversa já começou.
Onde o DMARC se encaixa e onde não
Esta é a parte com que todo remetente e defensor deveria se deter. Os convites não falsificaram o domínio de ninguém. O TA586 controlava sua própria infraestrutura, então seus e-mails podiam passar SPF, DKIM e DMARC sem problema enquanto promoviam uma conferência fictícia. O DMARC responde a uma única pergunta: se a mensagem vem realmente do domínio indicado no campo From. Ele não consegue responder se a conferência existe, se o palestrante principal aceitou participar ou se os logotipos de patrocinadores foram usados com permissão.
Isso não é um argumento contra o DMARC. É um argumento sobre o formato do problema. Considere a imagem especular desta campanha. Se um criminoso tivesse, em vez disso, falsificado o domínio de envio de uma marca real e confiável de conferências para espalhar convites, uma política de enforcement os teria interrompido por completo. Publicar DMARC com política de quarentena ou rejeição em todos os domínios da sua organização e ler os relatórios agregados é o que garante que a sua marca não possa ser recrutada para a mentira de outra pessoa. O fato de os atacantes inventarem seus próprios eventos críveis é a metade mais difícil do modelo de ameaças, e ela se resolve com processos, não com DNS.
O que as organizações devem fazer
Para qualquer equipe que recebe convites de conferências, a defesa é a verificação fora do canal de e-mail. Pesquise o local de forma independente e ligue para ele. Verifique se os palestrantes e patrocinadores listados conhecem o evento. Trate um pedido para baixar um arquivo compactado ou abrir um link depois de demonstrar interesse como um sinal de alerta, e não como uma etapa natural. Para as equipes de segurança, a campanha lembra que a isca mais convincente não é uma fatura falsa, mas uma oportunidade lisonjeira, e que quadrilhas de ransomware cada vez mais compram seu acesso de especialistas em vez de invadir por conta própria.
Para os organizadores de conferências reais e para cada marca cujo nome faz um e-mail parecer seguro, a lição é tornar o seu próprio domínio impossível de falsificar. Publique DMARC, aplique a política, monitore os relatórios e fique atento a registros de domínios parecidos. Você não pode impedir que um criminoso invente uma conferência, mas pode garantir que a conferência que realmente existe nunca seja falsificada.
A autenticação garante que o e-mail que diz vir do seu domínio realmente vem do seu domínio, e essa é a base sobre a qual toda outra defesa se apoia. O Excello Mail transforma seus relatórios de DMARC, SPF e DKIM em uma imagem clara de cada serviço que envia em nome dos seus domínios, para que você aplique sua política com confiança. Cadastre-se gratuitamente no Excello Mail e garanta que a sua marca nunca seja a credibilidade emprestada na armadilha de outra pessoa.