15% dos novos sites de e-commerce criados no último trimestre de 2025 foram identificados como maliciosos, destacando a importância de proteção tecnológica e conscientização dos consumidores contra fraudes, especialmente em períodos de alta atividade comercial como o Natal.
Todos os anos, a temporada de festas de fim de ano traz um aumento previsível nas atividades online. Mas, em 2025, o volume de infraestrutura maliciosa recém-criada, atividades para comprometimento de contas e exploração direcionada de sistemas de comércio eletrônico está imensamente maior. O FortiGuard Labs, laboratório de inteligência da Fortinet, monitorou dados dos últimos três meses e trouxe os resultados no relatório do FortiRecon sobre o Cenário de Ameaças Cibernéticas desse período. O levantamento revelou 2900 endereços de sites de e-commerce considerados maliciosos. Esse volume representa 15% dos 19 mil novos sites de compras online registrados no último trimestre. Especialistas da Fortinet apontam a importância da adoção de sistemas atualizados de proteção e da ampla conscientização sobre práticas fraudulentas e como se proteger.
Ao analisar os novos domínios com temas ligados às sazonalidades de fim de ano, a Fortinet encontrou mais de 18 mil domínios com temas de festas e feriados registrados nos últimos três meses. Destes, mais de 14 mil fazem referência ao Natal – sendo 406 desses sites considerados maliciosos. Dentre as aparentes destinações, encontram-se vitrines virtuais, cartões-presente, vagas de trabalho e outras. A empresa salienta que esse movimento de cibercriminosos pode ter impactado outras datas de intensa atividade comercial. Ao considerar termos como ‘Black Friday’ e ‘Liquidação Relâmpago’, o número de endereços maliciosos chega a 750.
A análise ainda observou elevada presença de domínios que imitam grandes marcas de varejo. O relatório FortiRecon mapeou 14.986 nomes que aludem à marca Amazon - sendo 13,47% deles considerados maliciosos. O laboratório explica que, com pequenas variações, esses endereços são facilmente despercebidos quando os consumidores estão escolhendo e comprando com rapidez e pressa. Esses domínios dão suporte a phishings, lojas virtuais fraudulentas, golpes com cartões-presente e esquemas de coleta de pagamentos.
A pesquisa também revelou um aumento impressionante na disponibilidade e no uso de registros de roubo de credenciais. Nos últimos três meses, mais de 1,57 milhão de contas de login vinculadas a grandes sites de comércio eletrônico, disponíveis por meio de registros de roubo de credenciais, foram coletadas em mercados clandestinos. Esses registros contêm senhas armazenadas no navegador, cookies, tokens de sessão, dados de preenchimento automático e “impressões digitais” do sistema (identificadores digitais únicos). Sessões roubadas com históricos de compras ativos são especialmente valiosas, pois se assemelham muito à atividade legítima do usuário e são muito mais difíceis de detectar em tempo real.
Como se proteger
A Fortinet aponta que as melhores estratégias de proteção precisam combinar educação, processos e tecnologia. No âmbito técnico, a empresa orienta a constante atualização de sistemas conectados e dispositivos IoT, além de investimento em soluções integradas de segurança cibernética, firewalls de próxima geração e ferramentas de detecção de ataques cibernéticos baseadas em inteligência artificial. Já no contexto das pessoas, a empresa sugere o treinamento de funcionários, fornecedores e parceiros para que saibam identificar conteúdos e ambientes suspeitos. E, paralelamente, a orientação e conscientização de consumidores sobre boas práticas no ambiente digital.
Para os consumidores, a empresa recomenda:
Verificar URLs: sempre verifique o endereço do site antes de inserir informações confidenciais.
Procurar por erros de digitação ou domínios incomuns.
Usar métodos de pagamento seguros: evitar transferências bancárias diretas. Usar cartões de crédito ou pagamento confiáveis com proteção contra fraudes.
Ser cautelosos com ofertas: evitar clicar em links suspeitos em e-mails ou SMS, mesmo que pareçam de fontes legítimas. Para adicionar uma camada extra de segurança, habilitar autenticação (MFA) e usá-la em todas as contas.
Monitorar a sua atividade financeira: verificar regularmente seus extratos bancários e de cartão de crédito para identificar alguma cobrança não autorizada.
Evitar utilizar Wi-Fi público: ao fazer compras on-line, utilizar redes seguras e privadas para reduzir o risco de sequestro da sessão em uso.
Para a proteção das empresas, a Fortinet indica:
Se certificar de que o HTTPS é usado para todo o tráfego do site, incluindo as páginas de login e sessão, a fim de criptografar os cookies e proteger contra interceptação de invasores.
Manter plataformas de comércio eletrônico, gateways de pagamento e software atualizados para reduzir vulnerabilidades.
Manter todas as plataformas de comércio eletrônico e plugins atualizados, bem como as integrações de terceiros e remova tudo o que não estiver em uso.
Implementar detecção avançada de fraude: implantar ferramentas que detectam tentativas de login incomuns, tentativas de força bruta e tráfego falso.
Monitorar registros de domínios: monitore domínios enganosos ou semelhantes que se fazem passar pela sua marca e aja rapidamente para removê-los.
Educar os clientes: informar os compradores sobre como identificar tentativas de phishing e garantir compras on-line seguras.
Incentivar a compra de cartões-presente apenas de fontes confiáveis e evite compartilhar detalhes ou códigos de cartão-presente.
Usar senhas fortes e limitar o acesso a sistemas críticos.
Implementar a autenticação multifator (MFA), especialmente para contas administrativas e de alto risco.
Centralize o registro de logs para monitorar ações administrativas suspeitas, sequestro de sessão ou acesso incomum ao banco de dados.
Garanta que as suas equipes de prevenção a fraudes, segurança e suporte ao cliente sigam um fluxo de escalonamento de incidentes cibernéticos compartilhado durante o período de festas.
(*) Homework inspira transformação no mundo do trabalho, nos negócios, na sociedade. É criação da Compasso, agência de conteúdo e conexão.
