Golpe do falso reembolso combina infostealer, ligação falsa e acesso remoto para roubar cartão e OTP
A Group-IB detalha um esquema no Oriente Médio que começa com infecção por malware infostealer (como o RedLine Stealer), passa por uma ligação de um falso funcionário de governo e termina com a instalação de ferramentas de acesso remoto que permitem ao golpista ver a tela da vítima em tempo real. Enquanto a vítima acredita estar resolvendo uma reclamação em um portal oficial, o golpista captura dados do cartão e os códigos OTP exibidos na tela.
O ataque é notável por encadear três técnicas distintas em vez de depender de uma só. Primeiro, um malware infostealer já instalado no computador da vítima (o relatório cita o RedLine Stealer) rouba dados pessoais e credenciais, que acabam à venda ou expostos na dark web — inclusive o histórico de reclamações que a vítima registrou em um portal governamental.
Com esse contexto em mãos, o golpista liga se passando por funcionário do governo respondendo à própria reclamação da vítima — um pretexto extremamente convincente, porque o golpista realmente sabe do que está falando. A partir daí, ele orienta a vítima a instalar, junto com o aplicativo oficial do governo, uma ferramenta de acesso remoto legítima (AnyDesk, TeamViewer ou ISL), sob o pretexto de 'ajudar' no processo.
Com a tela compartilhada, o golpe se completa: enquanto a vítima fotografa o cartão para 'anexar' à reclamação, o golpista vê e copia os dados do cartão ao vivo, e captura o código OTP assim que ele chega por SMS na mesma tela compartilhada. Com cartão e OTP em mãos, os criminosos fazem compras 3D Secure em torno de US$ 1.300 ou transferem valores maiores (US$ 5.000+) para contas-mula via recarga de e-wallet.
O ponto cego que esse golpe explora é a legitimidade real de cada peça isolada — o app é oficial, a ferramenta de acesso remoto é legítima, e a ligação usa dados verdadeiros da vítima — o que o torna muito mais difícil de identificar do que um phishing tradicional. A defesa prática mais eficaz é regra simples e absoluta: nunca instalar software de acesso remoto a pedido de alguém que ligou por telefone, mesmo que a ligação pareça legítima, e nunca ler ou fotografar um código OTP com a tela sendo compartilhada com terceiros. Bancos, por sua vez, deveriam monitorar ativamente a presença de ferramentas de acesso remoto durante operações de 3D Secure e alertar clientes quando seus dados aparecem em vazamentos.