Golpes de falso rastreamento de encomendas se espalham pela região MEA
A Group-IB identificou uma campanha de smishing em larga escala no Oriente Médio e África que finge notificações de entrega falha para roubar cartões, CVVs e códigos OTP em tempo real. A operação usa domínios descartáveis e páginas otimizadas para celular, com fortes indícios de ligação ao kit de phishing-as-a-service chinês Darcula, e cresceu de forma explosiva em 2025, com picos em datas comemorativas.
A Group-IB documentou uma onda de golpes na região MEA (Oriente Médio e África) que se passam por transportadoras e serviços postais. A vítima recebe um SMS avisando que uma entrega falhou e que é preciso "atualizar o endereço" ou pagar uma pequena "taxa de manuseio" para liberar o pacote — um pretexto plausível justamente por ocorrer num período de crescimento explosivo do e-commerce, com bilhões de encomendas circulando por ano.
Por dentro, o esquema é bem industrializado. As mensagens usam spoofing de sender ID para aparecerem dentro da mesma conversa de SMS de transportadoras reais, aumentando a credibilidade. Os links levam a domínios baratos e descartáveis (.xyz, .help, .sbs, .shop, .click) registrados em provedores como Namecheap e Hostinger, hospedando páginas mobile-first disfarçadas de simples "/index.html". Essas páginas abrem conexões WebSocket que exfiltram os dados digitados em tempo real — cartão, CVV e OTP — usando tokens UUID por sessão para rastrear cada vítima individualmente, o que dá aos operadores uma janela curta para usar o cartão ou aprovar a transação antes que a vítima perceba.
A infraestrutura tem fortes semelhanças com o "Darcula Pushing Kit", uma plataforma de phishing-as-a-service (PhaaS) de origem chinesa que permite a qualquer operador gerar campanhas de smishing prontas, com templates de marcas de transporte e painéis de coleta já embutidos. Isso explica a escala e a velocidade de rotação de domínios: não é um golpista isolado, é um serviço comercial de fraude sendo revendido a múltiplos grupos, o que também torna o bloqueio reativo por blacklist pouco eficaz.
O reconhecimento prático é simples: transportadoras não cobram "taxa de liberação" por SMS nem pedem dados de cartão para reagendar entrega. O caminho seguro é sempre digitar o site oficial da transportadora manualmente ou usar o app oficial, nunca clicar no link da mensagem. Para empresas do setor postal e de e-commerce, a Group-IB recomenda reforçar DMARC/SPF para reduzir spoofing, contratar proteção de marca para derrubar domínios clones rapidamente e trabalhar com operadoras móveis para bloquear padrões de SMS já conhecidos como golpe.