RECOMENDAÇÃO 01/2026

1. A presente Recomendação visa orientar os membros da Rede Federal de Gestão de Incidentes Cibernéticos (REGIC), os órgãos e entidades da administração pública, bem como parceiros do setor privado, acerca de uma campanha recorrente de phishing que utiliza domínios genéricos de topo (gTLD) .sbs e .app para simular serviços e comunicações governamentais.

Exemplos de domínios utilizados em campanhas de phishing e com tais características:

2. O CTIR Gov identificou uma campanha ativa de engenharia social na qual agentes maliciosos utilizam domínios terminados em .sbs e .app, geralmente compostos por nomes curtos e pseudoaleatórios, para hospedar páginas falsas que simulam serviços governamentais, tais como webmail institucional, regularização de contas, atualizações cadastrais, notificações administrativas e serviços de logística.

Essas páginas fraudulentas apresentam aparência visual semelhante à de portais oficiais, utilizam linguagem institucional e induzem o usuário a fornecer credenciais, dados pessoais ou informações sensíveis, explorando principalmente senso de urgência, ameaça de bloqueio ou suspensão de serviços.

3. Considerando o cenário descrito, o CTIR Gov recomenda o reforço das seguintes ações preventivas e de mitigação:

a. Monitoramento de Tráfego de Rede e DNS

• Intensifique o monitoramento de acessos a domínios recentemente registrados, com especial atenção a domínios terminados em .sbs e .app.

• Avalie a implementação de alertas ou bloqueios para acessos a domínios .sbs e .app quando associados a temáticas governamentais, institucionais ou administrativas.

b. Filtragem de E-mails e Conteúdo Web

• Ajuste regras de filtragem para identificar mensagens que contenham links para domínios .sbs e .app, especialmente quando associadas a assuntos como atualização de conta, bloqueio de acesso, manutenção de sistemas ou solicitações administrativas.

• Priorize a análise de mensagens que utilizem assuntos do tipo “Re:”, “Fwd:” ou que simulem continuidade de conversas institucionais.

c. Controle de Acesso e Autenticação

• Reforce a adoção de autenticação multifator (MFA) para serviços de correio eletrônico e sistemas críticos.

• Revise periodicamente logs de autenticação para identificar acessos suspeitos ou padrões atípicos de uso de contas institucionais.

d. Conscientização de Usuários

• Oriente servidores, colaboradores e prestadores de serviço de que órgãos públicos não utilizam domínios .sbs e .app para serviços oficiais, autenticação, atualização cadastral ou comunicações institucionais.

• Reforce a recomendação de verificação do domínio completo antes de qualquer interação com links recebidos por e-mail ou mensagens eletrônicas.

e. Resposta a Incidentes

• Ao identificar mensagens ou sites associados a essa campanha, realize o bloqueio imediato dos indicadores identificados e preserve evidências para análise posterior.

• Avalie a possibilidade de comprometimento de contas que tenham interagido com os links maliciosos, adotando medidas de contenção, como redefinição de credenciais e revogação de sessões ativas.

4. O CTIR Gov destaca que campanhas dessa natureza têm se caracterizado pela alta rotatividade de domínios, uso de infraestrutura descartável e reutilização de modelos visuais e textuais, o que reforça a importância da adoção de medidas baseadas em padrões de comportamento, e não apenas em indicadores pontuais.

5. Em caso de incidente os órgãos deverão notificar o CTIR Gov, por meio do endereço ctir@ctir.gov.br.

6. O CTIR Gov publica periodicamente Alertas e Recomendações, que podem ser consultados no endereço:
https://www.gov.br/ctir/pt-br/assuntos/alertas-e-recomendacoes/recomendacoes

7.O CTIR Gov adota o padrão Traffic Light Protocol (TLP), conforme definido pelo Forum of Incident Response and Security Teams (FIRST), disponível em: https://www.gov.br/gsi/pt-br/seguranca-da-informacao-e-cibernetica/ctir/alertas-recomendacoes-e-conhecimento/conhecimento/tlp

8. Em conformidade com o disposto no Decreto nº 10.748/2021, o CTIR Gov solicita que as entidades responsáveis pelas ETIR Setoriais promovam a divulgação das orientações contidas neste documento junto às suas respectivas comunidades.

9. A equipe do CTIR Gov reforça a importância da atenção contínua às ameaças de engenharia social e permanece à disposição para apoio técnico e coordenação de ações de resposta.

[TLP:CLEAR]