Hackers espionam e-mails de executivo de bolsa por cinco meses

Hackers tiveram acesso por cerca de cinco meses à caixa de e-mail Outlook de um executivo sênior de uma grande bolsa de valores global, em uma operação de espionagem cibernética.
A atividade foi monitorada pelas equipes de Threat Hunting da Symantec e da Carbon Black; o primeiro sinal ocorreu em 10 de outubro de 2025, com dois binários executados com privilégios SYSTEM.
Os invasores usavam nomes que simulavam atualizadores da Adobe e do OneDrive e, em 12 de novembro, obtiveram um token de API do Dropbox, passaram a enviar dados com curl e implantaram uma ferramenta para copiar caixas de correio do Outlook.
A primeira coleta abrangeu mensagens desde agosto de 2025, com novas exfiltrações a cada duas a quatro semanas, copiando apenas intervalos recentes e usando Dropbox e OneDrive Personal para a transferência.
O caso não envolve nova CVE e representa uma intrusão prolongada em uma conta de alto valor, já que a caixa de e-mail do executivo pode conter negociações, calendários, contatos e dados de listagem que podem influenciar mercados.

O evento envolve hackers que acompanharam por cerca de cinco meses a caixa de e-mail Outlook de um executivo sênior de uma grande bolsa de valores global, em uma operação classificada como espionagem cibernética provável. A intrusão afetou uma conta de alto valor dentro da instituição.

As investigações ficaram a cargo das equipes de Threat Hunting da Symantec e da Carbon Black, que monitoraram a atividade maliciosa desde o seu início. O primeiro sinal ocorreu em 10 de outubro de 2025, quando os invasores executavam dois binários com privilégios SYSTEM, simulando atualizadores da Adobe e do OneDrive.

O ataque ganhou complexidade em 12 de novembro, com o uso de um token de API do Dropbox, envio de dados via curl e implantação de uma ferramenta para copiar caixas de correio do Outlook. A primeira coleta abrangeu mensagens desde agosto de 2025, seguidas de novas exfiltrações a cada duas a quatro semanas, sempre com intervalos recentes para reduzir suspeitas. As operações de exfiltração recorreram a Dropbox e ao OneDrive Personal.

Segundo as análises, não houve exploração de uma nova CVE. A intrusão prolongada atingiu uma conta de alto valor, cuja caixa de e-mail pode guardar negociações, calendários, contatos, dados de listagem e informações capazes de influenciar mercados.