A falsa vaga de emprego no LinkedIn que entrega sua empresa a espiões norte-coreanos

Chega uma mensagem no LinkedIn de um recrutador da Lockheed Martin — uma das maiores empresas de defesa do mundo. A vaga é excelente, o salário é ótimo, o perfil parece legítimo. Depois de algumas conversas cordiais, o “recrutador” envia um PDF com a descrição detalhada da posição, ou pede para instalar um leitor de PDF específico para abrir o material. O profissional, animado com a oportunidade, clica. E acabou de entregar o computador — e a rede da empresa onde trabalha — a um grupo de espionagem do governo da Coreia do Norte.

Não é roteiro de filme. É a Operation Dream Job, campanha real do grupo Lazarus, que a Check Point Research associou a ataques recentes contra empresas de defesa e aeroespacial na França, Alemanha, Brasil e Índia — usando uma falha do Windows. O Brasil está na lista de alvos, e o método de entrada é o mais humano possível: a esperança de um emprego melhor.

Duas palavras que todo gestor deveria conhecer: “zero-day” e “APT”

Esta notícia é um pouco mais técnica, mas vale traduzir dois termos que aparecem sempre que o assunto é ataque sério:

Zero-day (dia zero). É uma falha de segurança que o próprio fabricante ainda não conhece — portanto, ainda não existe correção. O nome vem daí: os defensores tiveram “zero dias” para se preparar. É a arma mais valiosa do arsenal de um atacante, porque nenhuma atualização protege contra ela até o fabricante descobrir e corrigir. No caso do Lazarus, a falha usada (catalogada como CVE-2026-68820) permitia ao invasor ganhar controle total da máquina, e já foi corrigida pela Microsoft — o que reforça, de novo, a importância de aplicar as atualizações mensais.

APT (Ameaça Persistente Avançada). É o nome dado a grupos como o Lazarus: não são golpistas oportunistas atrás de um Pix, são equipes profissionais, financiadas por governos, com tempo e recursos para perseguir um alvo específico por meses. Eles não mandam mil e-mails torcendo para alguém cair — escolhem a vítima, estudam, e constroem uma relação de confiança antes do golpe.

O que tornou este ataque especialmente grave

Três detalhes da análise completa da Check Point Research elevam este caso de “mais um golpe” para “alerta sério”:

• A falha foi explorada por semanas antes de existir correção. A CVE-2026-68820 está numa peça interna do Windows (o driver de rede afd.sys), e o Lazarus já a usava havia pelo menos cinco semanas quando a Microsoft finalmente corrigiu, no Patch Tuesday de agosto. Ou seja: por mais de um mês, nem a máquina atualizada estava protegida — porque a correção ainda não existia.
• O objetivo era ficar invisível. Depois de entrar, o ataque instalava um rootkit de kernel (batizado de FudModule) — um programa que se enfia no núcleo do Windows e desligou 94 canais de monitoramento de segurança de uma vez. Em português: cegava o antivírus e as ferramentas de defesa para operar sem deixar rastro. É o tipo de sofisticação que separa espionagem de Estado de golpe de fim de semana.
• Virou prioridade oficial. No mesmo dia em que saiu a correção, a CISA — a agência de segurança cibernética do governo americano — colocou a falha no seu catálogo de vulnerabilidades exploradas ativamente (KEV) e deu prazo até 25 de agosto para todas as agências federais dos EUA corrigirem. Quando um governo põe data no calendário, é porque o risco é presente, não teórico.

O recado direto para o time de TI: o Patch Tuesday de agosto deixou de ser rotina e virou prioridade — e a CVE-2026-68820 é a primeira da fila.

“Mas a minha empresa não é a Lockheed Martin”

Verdade — e é justamente por isso que este caso importa para você. Dois motivos:

1. A técnica desce a escada. O que hoje é usado por espiões norte-coreanos contra a indústria de defesa vira, em pouco tempo, ferramenta de criminoso comum contra empresa média. A “falsa vaga de emprego” já é usada para roubar dados de empresas de todos os tamanhos — porque funciona: mexe com a esperança e a vaidade da pessoa, não com o firewall.

2. O alvo não é a empresa, é a pessoa. O Lazarus não invadiu um servidor da Lockheed — ele convenceu um funcionário a abrir um arquivo. E funcionário com esperança de emprego novo existe em toda empresa. O seu departamento comercial, seu financeiro, seu RH — todos recebem contato de “recrutadores” e “novos clientes” o tempo todo.

Como se defender do golpe da falsa oportunidade

• Desconfie de arquivo e instalação vindos de contato não solicitado — mesmo que a proposta seja irresistível, principalmente se for. Recrutador de verdade manda descrição de vaga no corpo da mensagem ou em portal conhecido, não pede para instalar “um leitor de PDF especial”.
• Documento de fonte externa se abre com desconfiança. PDF, planilha, instalador recebido de estranho é a porta de entrada número um. Na dúvida, não abra — confirme o remetente por outro canal.
• Máquina de trabalho não instala software avulso. A regra que já vale contra pirataria vale aqui: só se instala o que a empresa aprovou. O usuário comum não deveria nem conseguir instalar programa sozinho na máquina corporativa.
• Atualize o Windows e tudo mais, religiosamente. O zero-day de ontem é o buraco corrigido de hoje — para quem aplicou a atualização. O Patch Tuesday da Microsoft (as correções mensais) não é opcional.
• Verificação em duas etapas como rede final. Se o golpe roubar uma senha, o segundo fator é o que impede a porta de abrir.

Os ataques mais sofisticados do mundo terminam, quase sempre, num gesto simples: alguém clicou no arquivo errado. A tecnologia de defesa importa — mas a pergunta “eu pedi por isso?” antes de abrir qualquer coisa continua sendo a fechadura mais barata e mais eficaz que existe.

Fontes

• Check Point Research — Shattering the Dream: When a Job Offer Becomes a Zero-Day Attack (análise técnica original, Operation Dream Job / CVE-2026-68820 / FudModule): research.checkpoint.com
• BleepingComputer — Lazarus hackers exploited Windows zero-day to target defense firms: bleepingcomputer.com
• CISA — Known Exploited Vulnerabilities Catalog (CVE-2026-68820, prazo 25/08): cisa.gov/known-exploited-vulnerabilities-catalog
• Correções mensais da Microsoft (Patch Tuesday): msrc.microsoft.com