Táticas de contas-laranja evoluem de VPN simples a device muling físico contra bancos da região META
Um levantamento da Group-IB baseado em mais de 200 milhões de sessões móveis mapeia seis estágios de evolução das táticas de mulas financeiras usadas contra bancos do Oriente Médio, Turquia e África entre 2023 e 2025. A progressão vai de simples mascaramento de IP até o envio físico de celulares pré-configurados através de fronteiras, sempre um passo à frente dos controles antifraude. O relatório detalha como bancos estão respondendo com detecção em camadas combinando geolocalização, biometria comportamental e análise de grafos.
O relatório documenta a corrida armamentista entre operadores de contas-laranja (mulas financeiras) e os sistemas antifraude de bancos na região META (Oriente Médio, Turquia e África). A pesquisa, apoiada em telemetria de mais de 200 milhões de sessões móveis e milhares de investigações confirmadas de mulas, traça seis estágios táticos que se sucederam entre o quarto trimestre de 2023 e o primeiro de 2025, cada um surgindo como resposta direta aos controles implantados na etapa anterior.
A evolução começou com uso de VPNs e proxies comuns para mascarar o IP ao acessar contas remotamente de países de risco — tática rapidamente neutralizada por filtros de IP. Os fraudadores passaram então a combinar chips SIM registrados em países confiáveis com terminais Starlink, e evoluíram para GPS spoofing em Android e iOS, simulando presença em países de confiança mesmo estando fisicamente no exterior (o caso do “grupo de mulas sírio/turco” é citado como exemplo). Etapas mais recentes incluem a remoção completa do chip SIM em favor de hotspots Wi-Fi, para evitar a impressão digital da operadora, e um esquema de “handoff de credenciais” em que mulas de primeira camada abrem contas legitimamente e depois repassam o acesso a operadores no exterior. O estágio mais avançado é o “device muling” físico: celulares já configurados e logados são enviados fisicamente através de fronteiras, eliminando a necessidade de compartilhar credenciais pela rede — o que eliminaria boa parte dos sinais que sistemas antifraude tradicionais monitoram.
Um fator relevante apontado no relatório é que regulações particularmente rígidas na região do Golfo contra uso de VPN/proxy forçaram os fraudadores a inovar mais rápido do que em outras regiões, o que explica por que essa progressão tática apareceu primeiro ali.
A resposta recomendada pelos pesquisadores é a detecção em camadas: unificar inteligência de IP, fingerprinting de dispositivo, geolocalização e biometria comportamental em um único mecanismo de decisão em tempo real; usar SDKs capazes de identificar diretamente GPS spoofing, remoção de SIM e incompatibilidades entre coordenadas de GPS e país da rede móvel; aplicar modelos de machine learning sobre padrões de toque, digitação e orientação do aparelho para flagrar transferências de dispositivo entre pessoas; e realizar análise de linkage baseada em grafos para achar dispositivos e padrões compartilhados entre múltiplas contas. O relatório também recomenda participação em redes colaborativas de compartilhamento de inteligência de fraude entre instituições — já que a mesma mula ou o mesmo dispositivo tende a circular entre vários bancos antes de ser identificado.