Smishing contra usuários de pedágio usa Google AMP e fingerprint de navegador para driblar analistas de segurança
Uma campanha de smishing identificada pela Group-IB mira usuários de um serviço de pedágio, enviando SMS sobre supostas dívidas pendentes com ameaça de multa para gerar urgência. A página de phishing usa cloaking via Google AMP para escapar de filtros, faz fingerprinting do navegador para bloquear VPNs, IPs de datacenter e ferramentas como VirusTotal e urlscan.io, e valida os dados de cartão inseridos com o algoritmo de Luhn antes de exfiltrá-los.
A campanha começa com uma mensagem de texto informando que o destinatário tem um débito de pedágio em aberto, com prazo curto para pagamento e ameaça explícita de multa por atraso — o gatilho clássico de urgência que reduz o tempo de reflexão da vítima antes de clicar. O link embutido no SMS não aponta diretamente para o domínio malicioso: ele passa primeiro por Google AMP (Accelerated Mobile Pages), técnica de cloaking que explora a confiança das vítimas — e dos filtros automáticos de segurança — em uma infraestrutura legítima do Google antes de redirecionar para a página falsa.
O que diferencia essa campanha de um phishing genérico é a camada de evasão voltada especificamente contra quem investiga o golpe. A página usa a biblioteca FingerprintJS para colher características do navegador do visitante e decide, em tempo real, se libera ou não o conteúdo malicioso: tráfego vindo de VPNs, IPs de datacenter ou de ferramentas de análise automatizada como VirusTotal e urlscan.io é identificado e barrado, exibindo provavelmente uma página inofensiva no lugar. Isso dificulta tanto a detecção automatizada por sandboxes quanto a análise manual por pesquisadores, prolongando a vida útil da campanha.
Quando a vítima real preenche o formulário, a página usa Cleave.js para formatar os campos em tempo real — como em qualquer checkout legítimo — e valida o número do cartão informado com o algoritmo de Luhn antes de aceitar o envio, garantindo que só dados com formato numericamente coerente sejam capturados, o que aumenta a qualidade (do ponto de vista do criminoso) da base de cartões roubados. Um script de rastreamento envia os dados digitados a cada três segundos para a infraestrutura do atacante, capturando informações mesmo que a vítima abandone o formulário antes de finalizar.
Para o usuário final, os sinais de alerta são o de sempre — atenção redobrada a SMS não solicitados citando dívidas ou multas com prazo apertado, verificação do endereço real antes de inserir dados de cartão e uso exclusivo de aplicativos ou sites oficiais do serviço de pedágio, nunca de links recebidos por mensagem. Para times de segurança e antifraude, o caso é um lembrete de que cloaking baseado em fingerprinting já é padrão em kits de phishing financeiro, o que exige testes de detecção que simulem tráfego de usuário real e não apenas scanners tradicionais.