Kit de phishing bancário usa falsa página de "suspenso" para driblar takedowns

A Kela identificou uma campanha de phishing, ativa desde maio, que usa mais de 300 domínios falsos. Destes, 248 imitam 189 instituições financeiras dos EUA. Os primeiros domínios foram registrados no fim de 2025, mas a maioria surgiu entre julho e setembro de 2026. Em 25 de outubro, 183 das organizações alvo ainda tinham sites sósias no ar, sobretudo bancos regionais de médio porte. Na última semana antes do relatório, apareceram 49 domínios novos. A Kela chama o conjunto de infraestrutura "Suspended". Nota editorial: o termo "reports" que aparece no contexto se refere ao relatório da Kela, não a um projeto com repositório próprio.

O mecanismo central é simples. O kit guarda o IP de cada visitante. Na primeira visita, a pessoa vê uma página de login com a marca do banco, que pede usuário e senha e pode exibir reCAPTCHA. O título da aba, "Attention required", copia a página de desafio da Cloudflare, e um script bloqueia as ferramentas de desenvolvedor do navegador. Nas visitas seguintes, o IP já registrado recebe a mensagem "This account has been suspended", igual à de uma hospedagem encerrada. Quem verifica o site duas vezes, como scanner, equipe de segurança ou provedor de takedown, pode concluir que o site caiu. Para ver o conteúdo ativo, é preciso um IP novo a cada checagem.

Alguns domínios exibiram outros avisos falsos ou redirecionaram ao Google, o que impede serviços públicos de varredura de capturar a campanha inteira. Os domínios ficam atrás da Cloudflare, mas alguns resolveram brevemente para os servidores reais, e a Kela rastreou a hospedagem e achou vítimas também no Reino Unido, na Austrália e na Nova Zelândia. A Kela não descobriu como as vítimas são levadas às páginas. Os alvos principais são logins de banking empresarial e de tesouraria, não contas pessoais. Os nomes seguem fórmula repetível: palavras como secure, disable, protect, cancel, authorize, terminate, credentials ou commercial, hífen e o nome do banco. Um grupo menor e crescente usa help-desk, live-support, treasury-portal e "primary device". Cerca de metade dos 49 domínios recentes usa esses modelos, incluindo sósias de JPMorgan, Citi, BMO e Santander. Detalhes na reportagem do SecurityWeek.

Há um fio com a cobertura anterior, mas não é a mesma campanha. Em 17 de fevereiro de 2026, o CEVIU noticiou "Operação DoppelBrand Usa Marcas Confiáveis como Arma para Roubo de Credenciais", que descrevia domínios sósias e portais clonados de grandes bancos dos EUA. Naquele caso o foco era o roubo de credenciais com cópias de marcas. A campanha atual da Kela mostra o mesmo tipo de alvo, mas com uma técnica de evasão de takedown baseada em IP. O material não liga as duas operações ao mesmo grupo.

Para quem opera takedown ou monitoramento de marca, isso significa que um segundo teste que retorna "suspenso" não prova que o site caiu. Pode ser útil validar com IPs diferentes a cada checagem, como a própria Kela descreve. Para bancos regionais e seus clientes empresariais, o risco recai sobre os acessos de tesouraria. A leitura é editorial: a fórmula de nomes é fácil de replicar para qualquer banco, e o uso de Cloudflare dificulta achar a hospedagem real.