Da solo sembrava routine. Correlato è diventato un caso.

Cruzada com o External Attack Surface Management, identificamos outros quatro portais da empresa acessíveis com a mesma credencial.

Validamos que a credencial dava acesso ao Instagram e ao LinkedIn do executivo.

Cruzado com o Deep & Dark Leak: os mesmos dados de clientes daquele domínio já circulavam num marketplace de fraude.

Cruzado com os ativos mapeados, confirmamos que a sessão pertencia a um sistema corporativo ativo e ainda estava válida.

Cruzado com o Third Party Risk Manager, confirmamos que esse provedor tinha acesso direto a um ambiente do cliente.

Cruzamos com o perfil profissional público e vimos que era um desenvolvedor: o acesso poderia alcançar repositórios de código e ambientes de desenvolvimento.

Em atuação undercover, um padrão chamou atenção: ele só respondia depois das 16h. Mapeamos os funcionários que encerravam o expediente nesse horário e, com apoio das câmeras, flagramos o suspeito fotografando a tela.

Coletamos os dados parciais disponíveis (BIN, primeiros seis e dígitos intermediários validadores) e cruzamos com a base do emissor, confirmando autenticidade e delimitando o lote.

As combinações testadas batiam com credenciais de clientes já vazadas em outros serviços: era credential stuffing, não força bruta.

O ASM identificou o concentrador VPN exposto que batia com a descrição, e o Deep & Dark ligou a oferta a um corretor de acesso conhecido.

O app replicava a tela de login e capturava o token de MFA — e o servidor usado batia com uma campanha de phishing já ativa.

Interagimos diretamente com o fraudador no ambiente monitorado, enriquecendo progressivamente os dados: nomes completos, telefones, matrículas funcionais, e-mails corporativos e fotos.

Cruzada com o ASM, a credencial abria o portal de ativação de chip — e no Deep & Dark o mesmo acesso já era anunciado para troca de titularidade.

O formato dos campos retornados batia com o layout de um sistema interno de atendimento — não era base antiga, era consulta ao vivo.

O ASM ligou o IP a um bloco da operadora e o Threat Feed mostrou varredura ativa contra aquele modelo de equipamento na mesma semana.

Correlacionamos dezenas de anúncios fraudulentos pela mesma chave e analisamos o padrão de nomes de CNPJ, o que expôs dezenas de outros CNPJs similares.

A análise de superfície de ataque a partir da marca revelou um domínio interno desconhecido pela própria equipe de segurança do cliente, com serviço de acesso remoto exposto publicamente.

A análise identificou uma vulnerabilidade crítica de acesso remoto na plataforma de atendimento ao cliente, com dados sensíveis alcançáveis.

O e-tracker mostrou que a página era cópia literal do site oficial — e no Deep & Dark os dados dos clientes já circulavam à venda.

O padrão de geração indicava acesso ao painel promocional — e a credencial de um analista aparecia em log de stealer da mesma semana.

O perfil que publicava a vaga aparecia ligado a outras páginas clonadas da mesma operação, já mapeada pelo Brand Protection.

O comprador mais ativo era um grupo de ransomware com histórico em saúde — sistema de paciente parado força pagamento rápido.

O TPRM confirmou que esse fornecedor mantinha integração ativa por API com o sistema de prontuário do cliente.

A sessão pertencia ao sistema de agendamento e prontuário, acessível de fora — trocar a senha não derrubaria o cookie.

O padrão apontava para checkers testando em massa credenciais que já circulavam em vazamentos e logs de stealer — não era invasão nova, era reuso de credencial antiga.

O mesmo padrão de registro aparecia em outros domínios de viagem — a Investigation mapeou a rede de fachada por trás das páginas.

Cruzada com o VIP Monitoring, os dados pessoais dele já estavam expostos — material pronto para personificação e deepfake.

A análise das imagens parciais divulgadas como amostra confirmou visualmente tratar-se de vazamento real; o rastreio da chave Pix de pagamento e o cruzamento por OSINT identificaram uma das vendedoras como professora de um estado específico.