Operação da Interpol derruba plataforma de phishing Sniper Dz e prende administrador

O Sniper Dz não era só mais um kit de phishing barato: era uma fábrica de ataques com suporte técnico, infraestrutura gerenciada e até canal no Telegram com tutoriais em árabe e francês. Entre 2023 e 2024, ele alimentou mais de 140.000 páginas de phishing, e cada uma delas carregava um backdoor embutido para coletar credenciais mesmo quando o criminoso usava seu próprio servidor. Isso transformava o serviço em um 'phishing com garantia de entrega', com rastreamento em tempo real dos dados roubados.

A Operação Ramz foi a primeira a atacar o modelo de negócios do PhaaS na raiz: não só derrubou domínios e servidores (53 apreendidos), mas também interrompeu cadeias de exploração humana, como no caso da Jordânia, onde 15 vítimas de tráfico eram forçadas a operar golpes de investimento sob ameaça. A prisão de Guedz na Argélia fechou o ciclo de comando que mantinha a plataforma ativa desde 2015, com renomeações estratégicas (Joker Dz, Storm Dz) para evitar detecção.

PhaaS gratuitos como o Sniper Dz reduzem o custo de entrada para ataques em escala corporativa: basta um criminoso com conhecimento básico de redes sociais para lançar campanhas contra bancos, plataformas de streaming ou até órgãos públicos do Brasil. A presença de templates em português não foi confirmada, mas a estrutura multilíngue (árabe, inglês, francês, espanhol, hebraico) mostra que o alvo era global, e o Brasil está no roteiro de expansão de grupos MENA que já migraram para ataques direcionados via WhatsApp e SMS.

Empresas brasileiras precisam atualizar políticas de gestão de vulnerabilidades para incluir simulações de phishing com foco em engenharia social baseada em figuras públicas locais, não só em logotipos de serviços globais. O uso de proxy e backdoor nos kits também exige revisão nas regras de detecção de CDR e EDR: muitos desses payloads passam despercebidos por não serem executáveis tradicionais, mas scripts maliciosos injetados em HTML legítimo.