SniperDz: plataforma de Phishing-as-a-Service sequestra navegadores para fraude de CPA
A Group-IB detalhou o SniperDz, um ecossistema centralizado de Phishing-as-a-Service com mais de 80 templates prontos que imitam cerca de 30 marcas globais (PayPal, Facebook, Netflix, Steam), operando sobre mais de 900 domínios. A plataforma usa permissões de notificação do navegador para prender a vítima e monetiza o tráfego roteando-o para chamadas premium, SMS premium, fraude de investimento e geração de leads.
A investigação da Group-IB expõe o SniperDz como uma infraestrutura completa de fraude 'como serviço', voltada majoritariamente à região MENA (Oriente Médio e Norte da África), mas com potencial de expansão global. A plataforma oferece a afiliados mais de 80 templates de phishing prontos, imitando cerca de 30 marcas reconhecíveis — de serviços financeiros como PayPal a redes sociais, streaming e marketplaces de jogos — reduzindo a barreira técnica para qualquer criminoso lançar uma campanha.
O funil de ataque tem três fases bem definidas. Primeiro, os operadores criam contas falsas em redes sociais e páginas em Linktree/Linkbio impersonando políticos, operadoras de telecomunicações ou marcas confiáveis, oferecendo benefícios falsos como dados móveis grátis ou compensação financeira. Ao clicar, a vítima passa por domínios intermediários até chegar à página maliciosa final, que exibe um spinner de carregamento pedindo permissão de notificações — se aceita, a vítima é inscrita em um serviço de push notification usando uma chave VAPID compartilhada entre campanhas, evidência de um ecossistema de afiliados coordenado.
A parte mais inovadora é o sequestro do navegador: o site injeta dezenas de entradas falsas no histórico de navegação para neutralizar o botão voltar, usa a técnica de tab-under para redirecionar silenciosamente a aba original, e continua enviando notificações mesmo depois que a vítima fecha a página. A partir daí, o sistema atua como um corretor de tráfego, direcionando cada vítima — conforme localização, dispositivo e operadora — para o esquema mais lucrativo disponível: ligações ou SMS de tarifa premium, formulários de fraude de investimento que coletam dados pessoais, ou geração de leads vendidos a terceiros.
A escala é considerável: mais de 900 domínios suspeitos identificados e uma infraestrutura de hospedagem concentrada em poucos IPs. Para se proteger, o usuário deve negar por padrão qualquer pedido de permissão de notificação de sites desconhecidos, verificar promoções apenas em canais oficiais da marca (nunca via redirecionamentos em cadeia), revisar periodicamente as permissões de notificação já concedidas no navegador e conferir a fatura do celular contra assinaturas de SMS ou chamadas premium não reconhecidas. Empresas cujas marcas são impersonadas devem monitorar e denunciar essas contas falsas ativamente, já que cada denúncia reduz o alcance da campanha.