Domínio de exemplo third-party.com vira golpe e atinge mais de 1.700 repositórios do GitHub

Um endereço que aparecia apenas como exemplo em manuais e tutoriais de programação virou porta de entrada para ataques. O domínio third-party[.]com, citado em mais de 1.700 repositórios públicos do GitHub, foi registrado por criminosos e passou a exibir uma página falsa que tenta comprometer máquinas com Windows.

O golpe funciona desde pelo menos junho de 2026, segundo levantamento da empresa Manifold Security.

Por que isso preocupa quem programa no Brasil

Por anos, autores de documentação técnica usaram esse endereço como um placeholder, ou seja, um texto de preenchimento para representar um site qualquer no meio de um exemplo de código. O problema é que, diferente de domínios protegidos, esse ficou disponível para compra.

Qualquer usuário de Windows no Brasil que abra um tutorial, um trecho de código ou uma "skill" de agente de inteligência artificial contendo esse link pode acabar em uma página maliciosa. O risco não depende do idioma do material, porque o endereço é citado globalmente.

Quem escreve ou mantém documentação deveria revisar textos antigos e trocar exemplos como third-party.com, acme.com, company.com ou vendor.com pelo único endereço realmente reservado para esse fim: example.com. Esse último é protegido pela IANA e não pode ser comprado por terceiros.

Se você costuma seguir tutoriais e instalar ferramentas, vale reforçar também os cuidados de rotina, como os que reunimos no guia sobre como manter contas e perfis livres de invasão.

Como a armadilha funciona

A técnica usada tem nome: ClickFix. Ela é um tipo de engenharia social em que a própria vítima é convencida a copiar e rodar um comando no recurso Executar do Windows, acreditando que aquilo resolve um problema ou confirma uma verificação.

Na prática, a página falsa simula uma tela de verificação e induz o visitante a colar o comando. Ao apertar Enter, é a própria pessoa quem inicia o ataque contra o próprio computador.

O método foi catalogado pela MITRE em março de 2025 e, de acordo com a Group-IB, já é explorado por grupos de ransomware e até por atores ligados a governos desde pelo menos agosto de 2024.

Dois serviços de reputação já sinalizaram o perigo:

• O VirusTotal classificou o domínio como malicioso.
• O Google Safe Browsing marcou o endereço como inseguro.

Curiosamente, o comportamento muda conforme o sistema. Visitantes que chegam pelo macOS ao third-party[.]com recebem apenas uma mensagem de erro dizendo que o site exige um PC com Windows, sem o golpe ClickFix.

Não é um caso isolado

A mesma pesquisa encontrou 13 outros domínios de exemplo que também estão sem proteção e podem ser comprados por golpistas a qualquer momento.

Dois deles já estão ativos contra usuários de Mac, com fraudes diferentes:

• your-domain[.]com, usado em golpes de scareware, aqueles alertas falsos que assustam a vítima com supostas ameaças.
• yoursite[.]com, associado a fraude de investimento.

Não há número divulgado de quantas pessoas foram efetivamente infectadas. O que os pesquisadores mediram foi o volume de repositórios que carregam o link exposto. Também não foi informado qual programa malicioso é instalado após a execução do comando, nem há confirmação de empresas brasileiras entre as atingidas.

O que fazer agora

Se você mantém projetos, cursos ou páginas com exemplos de código, o passo imediato é buscar por esses endereços no seu conteúdo e substituí-los pelo domínio reservado.

Para quem apenas consome tutoriais, a regra vale sempre: desconfie de qualquer instrução que peça para abrir o Executar e colar um comando. Nenhuma verificação legítima de site funciona assim.

A lógica é parecida com a que usamos ao avaliar se um endereço merece confiança antes de agir. Os mesmos sinais valem, por exemplo, na hora de decidir se uma loja online é confiável antes de pagar.

No fim, o episódio mostra como um detalhe considerado inofensivo, um simples texto de preenchimento, pode se transformar em risco real quando fica esquecido por anos na internet.