Phishing Disfarçado: Como Notion e PDFs Viraram Arma Contra Suas Senhas

Segundo o TecMundo, uma nova onda de ataques de phishing está usando um combo pouco convencional para roubar credenciais de usuários: contas legítimas do Notion somadas a arquivos PDF com links camuflados. A técnica chama atenção justamente porque explora ferramentas que a maioria das empresas considera confiável, o que torna o golpe mais difícil de identificar a olho nu.

Na prática, os criminosos criam páginas dentro do Notion, plataforma amplamente usada para organização de projetos e documentos corporativos, e hospedam ali formulários ou redirecionamentos falsos. Depois, distribuem PDFs que parecem inofensivos, muitas vezes disfarçados de faturas, contratos ou comunicados internos. Dentro desses arquivos, os links maliciosos ficam escondidos em textos ou botões que aparentam ser normais, levando a vítima direto para a página fraudulenta.

O problema é que o Notion é um serviço legítimo e amplamente usado, com domínio confiável e certificado de segurança válido. Isso significa que filtros de segurança tradicionais, aqueles que bloqueiam sites suspeitos com base em reputação de domínio, simplesmente deixam passar o ataque. Do ponto de vista técnico, é como abrir a porta da frente para o ladrão porque ele chegou de uniforme de entregador.

Por que esse tipo de golpe engana até usuários experientes

Aqui está o ponto que mais me preocupa como analista de segurança: esse ataque não depende de erros grosseiros de português ou links visivelmente estranhos, características clássicas do phishing amador. Ele se apoia na confiança que as pessoas já têm em ferramentas como Notion e no formato PDF, que é usado diariamente em quase toda empresa.

Quando um colaborador recebe um PDF de um fornecedor conhecido, ou aparentemente conhecido, a tendência natural é abrir sem muita desconfiança. O link oculto dentro do documento pode estar atrás de um botão de "acessar fatura" ou "confirmar dados", e o destino final é uma página do Notion clonando login do Microsoft 365, Google Workspace ou outro serviço corporativo.

Listando os pontos que tornam esse ataque particularmente eficaz: