Mecanismo de camuflagem inovador
A empresa de segurança cibernética Kela detectou uma campanha de phishing sofisticada direcionada a instituições financeiras, na qual os atacantes contam com uma técnica enganosa que impede que equipes de segurança e provedores de serviços de encerramento detectem o conteúdo malicioso. Esta campanha baseia-se no registro de endereços IP dos visitantes; enquanto o primeiro visitante vê uma página de login bancário falsa, qualquer visitante subsequente (incluindo ferramentas de varredura de segurança) depara-se com uma página que parece ser de "conta suspensa" de um provedor de hospedagem, sugerindo que o site já foi encerrado.
Por que esta notícia importa?
A gravidade desta infraestrutura reside na sua capacidade de burlar medidas de proteção tradicionais. Quando uma equipe de segurança ou um provedor de serviços denuncia um site suspeito, eles geralmente o verificam novamente para confirmar o encerramento. Nesse caso, a página falsa é exibida aos investigadores, levando à classificação do domínio como "inativo", enquanto o site continua a alvejar novas vítimas. Essa tática dificulta que equipes de resposta a incidentes interrompam a campanha de forma eficaz, uma vez que a detecção do conteúdo real exige o uso de um novo endereço IP para cada verificação.
Detalhes da campanha e alcance
A campanha começou em maio de 2026 e expandiu-se para abranger mais de 300 domínios falsos, dos quais 248 visaram cerca de 189 instituições financeiras americanas, com foco especial em bancos regionais de médio porte. As investigações também mostraram que a campanha se estende para incluir vítimas no Reino Unido, Austrália e Nova Zelândia. Os sites utilizam padrões de nomenclatura baseados em palavras como "secure" ou "authorize" seguidas pelo nome do banco, com o surgimento de uma nova categoria que utiliza termos como "help-desk" e "live-support" para simular portais de suporte técnico.
Desafios para o enfrentamento
A Kela identifica quatro fatores que tornam esta infraestrutura difícil de derrubar:
- Padrão de nomenclatura simples: Pode ser facilmente replicado para qualquer instituição financeira.
- Uso do Cloudflare: Para ocultar a localização real da hospedagem.
- Técnica de camuflagem: Exibição de uma página de "suspenso" na segunda visita para enganar os inspetores.
- Servidores compartilhados: Que garantem a continuidade da campanha mesmo que um único domínio seja derrubado.
Os resultados indicam que a campanha tem como alvo principal as credenciais de serviços bancários corporativos e de tesouraria, utilizando scripts para impedir o uso de ferramentas de desenvolvedor em navegadores, o que aumenta a complexidade da análise técnica do site.