GTFire: campanha de phishing abusa do Google Firebase e Google Translate para roubar credenciais em mais de 100 países
A Group-IB expôs a campanha GTFire, que hospeda páginas de phishing em subdomínios do Firebase (web.app) e usa links do Google Translate (translate.goog) como camada de redirecionamento para ganhar credibilidade e escapar de filtros de segurança. A operação já afetou mais de mil organizações em mais de cem países, coletando credenciais duas vezes por vítima através de um truque de "senha incorreta" antes de redirecionar ao site legítimo.
GTFire é uma campanha de phishing em larga escala que se apoia inteiramente em serviços legítimos do Google para parecer confiável. Em vez de registrar domínios próprios — que caem rápido em blacklists —, os operadores criam subdomínios aleatórios no Firebase Hosting (terminados em web.app) para hospedar páginas de login falsificadas de dezenas de marcas, reutilizando o mesmo framework de template para cada vítima nova.
O golpe funciona por dentro através de uma cadeia de redirecionamento pensada para enganar tanto humanos quanto filtros automatizados: a vítima recebe um link com domínio translate.goog (o serviço real de tradução do Google), que atua como proxy intermediário antes de resolver para a página falsa hospedada no Firebase. As URLs finais ainda são codificadas em Punycode (IDN) para dificultar a leitura visual do destino real. Como translate.goog e web.app são domínios Google legítimos com certificados válidos, filtros de e-mail e navegadores tendem a confiar neles por padrão — exatamente a lacuna que a campanha explora.
Um detalhe técnico revela a sofisticação do golpe: ao inserir a senha pela primeira vez, a vítima recebe uma mensagem de "senha incorreta", digitando os dados novamente — o que faz o kit capturar duas tentativas de senha (frequentemente diferentes, aumentando a chance de acerto) antes de redirecionar silenciosamente para o site legítimo da marca, deixando a vítima sem suspeitar de nada. Os dados roubados são enviados via HTTP GET para scripts PHP hospedados em servidores LiteSpeed, com senha em Base64 e metadados como e-mail, país e idioma do navegador — insumos valiosos para campanhas de account takeover subsequentes. A vitimologia levantada (México, EUA, Espanha, Índia, Argentina) mostra que não há foco geográfico único, é uma operação global.
Para equipes de segurança, a lição central é não tratar domínios do Google como automaticamente seguros — é preciso monitorar padrões de URL envolvendo translate.goog e web.app especificamente, já que blacklists estáticas por domínio raiz não funcionam aqui. Para organizações, a defesa mais eficaz contra esse tipo de coleta de credenciais é migrar para MFA resistente a phishing (chaves de segurança FIDO2/passkeys), que neutraliza o roubo de senha mesmo quando ele ocorre, além de treinar usuários especificamente sobre a técnica de abuso de infraestrutura Google, não apenas sobre phishing genérico.