Golpe de "empréstimo digital" falso rouba credenciais bancárias no Peru e se espalha pela América Latina
A Group-IB mapeou uma rede de cerca de 370 domínios falsos e 35 anúncios em redes sociais que imitam bancos peruanos para atrair vítimas com ofertas de empréstimo fácil, extraindo DNI, dados de cartão validados por algoritmo de Luhn, senha bancária e PIN. O esquema, sustentado por um script JavaScript ofuscado, já se expandiu para Colômbia, El Salvador, Chile e Equador.
A campanha analisada pela Group-IB começa de forma banal: anúncios em redes sociais oferecendo empréstimos rápidos e com condições atraentes, direcionando a vítima para sites que clonam visualmente bancos peruanos reais. A armadilha está no funil — o site pede primeiro dados de baixo risco aparente (número de DNI, valor desejado do empréstimo, e-mail e telefone) antes de escalar para as informações que realmente interessam ao golpista.
O design do golpe é feito para gerar falsa confiança passo a passo: o formulário aceita qualquer número de DNI sem validação real, dando a impressão de que o sistema "reconheceu" a vítima. Em seguida, a etapa de "reconhecimento facial" é programada para falhar sempre, forçando o usuário a preencher manualmente os dados do cartão — que passam por uma checagem com o algoritmo de Luhn, o mesmo usado por sistemas bancários reais para validar se um número de cartão é matematicamente possível, reforçando a aparência de legitimidade do processo. Por fim, o site solicita a senha do internet banking e o PIN de 6 dígitos, completando o kit de acesso total à conta.
Por trás da interface está um script chamado "librarypools.js", com nomes de função deliberadamente ofuscados (como uyidshjdbvsd), que serializa os dados do formulário, valida formato de telefone/e-mail e usa rotas em espanhol (como "mi-prestamo-nacion" e "dineroalinstante") para parecer um produto financeiro nacional legítimo. A escala é o ponto que chama atenção: cerca de 370 domínios únicos e ao menos 35 campanhas publicitárias distintas foram identificados entre 2024 e 2025, e a mesma infraestrutura já foi reaproveitada contra bancos de Colômbia, El Salvador, Chile e Equador — um padrão de reuso regional típico de operações de fraude como serviço.
A melhor defesa é comportamental: nenhuma instituição financeira legítima anuncia empréstimo pré-aprovado por rede social pedindo senha e PIN completo do banco antes de qualquer análise de crédito. Bancos podem mitigar com monitoramento proativo de domínios clones e MFA para login e transações; consumidores devem acessar sempre o app oficial do banco ou digitar a URL manualmente, e tratar qualquer pedido de PIN completo fora do aplicativo bancário como sinal definitivo de fraude.