Error 524 Decoy: operação global de smishing usa páginas de erro falsas do Cloudflare para roubar cartões

A investigação da Group-IB descreve uma das operações de smishing mais elaboradas já documentadas em volume: 4.389 instâncias de domínio de phishing identificadas, impersonando mais de 260 marcas em 72 países, com concentração de 60% na América Latina — liderada por México (1.851 domínios), seguido por Chile e Colômbia — e foco nos setores de telecomunicações, serviços financeiros e programas de recompensas/fidelidade.

O golpe segue um fluxo de cinco estágios pensado para parecer legítimo em cada etapa. Tudo começa com um SMS de número local falsificado (spoofado), usando pretextos de urgência como saldo prestes a expirar ou benefício pendente de resgate. Ao clicar, a vítima cai em uma Single Page Application codificada em Base64 que reproduz visualmente a marca alvo, e que coleta dados de forma progressiva: primeiro um número de identificação nacional (equivalente ao CPF), depois dados pessoais completos (nome, endereço, e-mail) e, por fim, número do cartão, validade e CVV — validados apenas pelo algoritmo de Luhn, sem qualquer verificação real com a bandeira ou o banco emissor. Os dados capturados são transmitidos em tempo real por canais WebSocket criptografados, com pacotes pequenos (64 a 1.008 bytes) e sinais de heartbeat para manter a conexão viva, antes de a vítima ser redirecionada ao site legítimo da marca para não desconfiar.

O elemento mais sofisticado da operação é o uso de páginas de erro Cloudflare falsificadas (códigos 524, 300, 313) como mecanismo de camuflagem: quando uma requisição não bate com os critérios esperados de geolocalização, tipo de dispositivo (a campanha filtra para atingir só usuários mobile) ou parâmetros de sessão — como ocorre tipicamente quando um pesquisador de segurança ou um scanner automatizado acessa o link — o servidor responde com uma página de erro visualmente idêntica à de um erro legítimo de infraestrutura, sem qualquer indício de conteúdo malicioso. Isso atrasa a detecção e dificulta enormemente a análise forense da campanha. A infraestrutura reforça esse objetivo hospedando cerca de 30% dos domínios em nuvens como Tencent Cloud e Alibaba, atrás de Cloudflare como proxy reverso para mascarar os IPs reais, com domínios em TLDs baratos (.ink, .bond, .top, .cyou) e nomenclatura sequencial que facilita reciclar a infraestrutura assim que é derrubada.

Para o usuário, o sinal mais claro de alerta é simples: nenhuma marca legítima pede número de cartão, validade ou CVV por SMS, e a melhor prática diante de qualquer mensagem de urgência sobre saldo ou benefício é ignorar o link e acessar o site oficial digitando o endereço diretamente. Para times de segurança e antifraude, a recomendação é integrar feeds de threat intelligence para IOCs de domínios recém-registrados, monitorar registros em massa com padrões de nome similares à marca protegida, adotar plataformas de Digital Risk Protection para detecção automatizada e incluir esquemas de PhaaS (Phishing-as-a-Service) explicitamente no modelo de ameaças corporativo, já que a escala e a reciclagem rápida de domínios tornam bloqueios manuais insuficientes.