Um administrador de TI procurou no Bing o instalador da VPN da empresa, clicou no primeiro resultado e entregou usuário e senha para criminosos. O programa que ele baixou no fim era o verdadeiro. A senha foi parar com os criminosos. O caso foi publicado pela empresa de segurança Huntress em 13 de outubro de 2026, em pleno Mês da Conscientização em Cibersegurança.
O golpe chama atenção por um detalhe: ele não depende de vírus nem de falha técnica. Depende de uma pessoa digitar a senha no lugar errado.
Como o golpe funcionava
Segundo a Huntress, o programa imitado era o Mobile VPN with SSL, da WatchGuard:
- A busca: em 7 de outubro, o funcionário de um provedor de serviços de TI pesquisou no Bing pelo download da VPN e caiu no endereço watchguard-vpn[.]net, uma falsa página de suporte. Não era anúncio pago: o site falso tinha subido nos resultados de busca por manipulação de SEO.
- A janela: ao clicar em baixar, abria uma janela pedindo servidor, login e senha.
- O truque: o primeiro envio era recusado de propósito, com a mensagem de dados incorretos, e os campos eram apagados. A vítima digitava tudo de novo, e os criminosos ganhavam uma segunda chance de capturar a senha certa.
- O disfarce: depois do segundo envio, o site baixava o instalador verdadeiro, direto do servidor da WatchGuard. Nada parecia errado.
Por que golpe assim funciona
O Relatório de Investigações de Violações de Dados da Verizon de 2026 aponta o fator humano em 62% das violações analisadas, e o phishing aparece em 16% delas. Não adianta ter firewall caro se a senha sai pela porta da frente.
O golpe da VPN mostra o ponto fraco com clareza: a pessoa olha a página, vê o logo certo e digita. Ninguém confere o endereço letra por letra quando está com pressa.
Onde o gerenciador de senhas entra
Um gerenciador de senhas com preenchimento automático guarda cada senha junto com o endereço do site onde ela foi criada. No site oficial, ele oferece a senha. No site falso, com outro endereço, não aparece nada para preencher.
Isso transforma um detalhe técnico num alarme simples: se o gerenciador não ofereceu a senha num site que deveria conhecer, pare antes de digitar à mão. O gerenciador não resolve tudo sozinho, mas tira do seu olho a tarefa de conferir o endereço.
Se você ainda guarda senha em planilha, bloco de notas ou repete a mesma em vários lugares, o primeiro passo é adotar um gerenciador. O OneckPass, gerenciador de senhas brasileiro com criptografia de ponta a ponta, tem opção gratuita para começar.
O que fazer agora
As recomendações da Huntress para empresas:
- Troque as senhas de quem possa ter digitado credenciais em página suspeita.
- Exija MFA (autenticação em dois fatores) na VPN e nos sistemas críticos. Senha sozinha não basta.
- Monitore logins de VPN vindos de provedores de hospedagem ou de redes desconhecidas.
- Publique os links oficiais de download para a equipe e salve nos favoritos, para ninguém precisar procurar no buscador.
Fontes: Huntress: Fake WatchGuard VPN credential phishing (13/10/2026); Olhar Digital: site falso oferece programa legítimo, mas rouba senhas de VPN (18/10/2026); Verizon: Data Breach Investigations Report 2026; CISA: Cybersecurity Awareness Month.
