Kit de phishing em quatro estágios mira clientes da Aruba.it e rouba cartão e código 3D Secure
A Group-IB descreve um kit de phishing multi-estágio contra clientes da Aruba S.p.A., provedora italiana de hospedagem e domínios com 5,4 milhões de clientes, projetado para roubar não só credenciais de login como também dados completos de cartão e o código de verificação 3D Secure. O kit usa CAPTCHA para filtrar bots de segurança, uma réplica fiel da tela de login pré-preenchida com o e-mail da vítima, uma cobrança fictícia de baixo valor para capturar o cartão, e por fim intercepta o OTP bancário — exfiltrando tudo em tempo real via Telegram, com canal duplicado para redundância. A operação ilustra como o phishing-as-a-service está cada vez mais industrializado e automatizado.
O kit analisado pela Group-IB mira clientes da Aruba S.p.A., uma das maiores provedoras de hospedagem e domínios da Itália, com 5,4 milhões de clientes — um alvo atrativo porque comprometer essa conta dá acesso não só a um serviço isolado, mas potencialmente ao controle do domínio e do e-mail corporativo de quem depende dela.
A cadeia de ataque é organizada em quatro estágios encadeados. Primeiro, um CAPTCHA funciona como filtro de entrada, barrando bots de segurança e scanners automatizados e garantindo que só humanos cheguem à página maliciosa — uma técnica de evasão cada vez mais comum em kits de phishing profissionais. Em seguida, a vítima vê uma réplica de alta fidelidade da tela de login da Aruba, já com o campo de e-mail pré-preenchido a partir de uma lista prévia, o que aumenta a credibilidade da página. No terceiro estágio, o kit exibe uma cobrança fictícia de valor baixo e plausível (na casa de poucos euros) para justificar a coleta completa dos dados do cartão sem levantar suspeita. Por fim, o kit intercepta o código de verificação 3D Secure enviado pelo banco da vítima, completando o roubo tanto da conta Aruba quanto do cartão de pagamento.
Os dados roubados são exfiltrados em tempo real por Telegram, com um canal de backup embutido diretamente no código do kit para garantir redundância mesmo que o canal principal seja derrubado — uma característica típica de kits vendidos como produto pronto para outros criminosos operarem.
Para reconhecer e prevenir esse tipo de golpe, o ponto central é nunca acessar o painel de um provedor de hospedagem ou domínio por link recebido em e-mail ou SMS — digite o endereço manualmente ou use um favorito salvo. Qualquer cobrança de valor baixo pedida durante um processo de login deve ser tratada como sinal de alerta, e nenhum código de verificação bancário (3D Secure/OTP) deve ser informado fora do aplicativo ou site oficial do próprio banco. Empresas que dependem de provedores como a Aruba para hospedar domínio e e-mail deveriam habilitar autenticação multifator resistente a phishing (FIDO2/passkeys) nesses consoles administrativos, já que o sequestro dessa conta abre caminho para ataques bem mais amplos, como o comprometimento de e-mail corporativo (BEC).