GXC Team combina phishing-as-a-service com IA e malware de interceptação de OTP contra 36 bancos espanhóis
A Group-IB identificou e rastreou o GXC Team, um grupo que vende phishing-as-a-service com IA e malware Android para interceptar OTP, já tendo mirado 36 bancos espanhóis e outras 30 instituições em países como EUA, Reino Unido, Eslováquia e Brasil. O diferencial do grupo é combinar kits de phishing tradicionais com chamadas de voz geradas por IA para induzir vítimas a entregar códigos de autenticação, elevando bastante a sofisticação do golpe.
O GXC Team opera como um fornecedor de "fraude como serviço": por uma mensalidade entre US$150 e US$900, outros criminosos recebem um kit de phishing completo — domínio fraudulento, hospedagem já configurada e um painel administrativo conectado a um bot do Telegram que entrega credenciais roubadas em tempo real, sem que o "cliente" precise ter conhecimento técnico para montar a operação sozinho.
A peça mais nova é um sistema de chamadas de voz geradas por IA que os operadores usam para ligar para vítimas se passando por atendimento bancário, orientando-as a informar códigos de segundo fator ou a instalar um aplicativo "de proteção". Esse app, na verdade, é malware Android disfarçado de app do próprio banco: ele pede permissão de gerenciamento de SMS e, uma vez concedida, encaminha silenciosamente os códigos OTP recebidos para o Telegram controlado pelos golpistas, que os usam para confirmar transações fraudulentas em tempo real na conta da vítima.
A escala já identificada é relevante: a Group-IB mapeou cerca de 250 domínios de phishing e nove variantes do malware ligados ao grupo, que surgiu em janeiro de 2023 e se anunciava abertamente em canais privados do Telegram e no fórum underground Exploit.in. O alvo inicial e principal foram bancos espanhóis, com 36 identificados, mas a operação já alcançou instituições nos EUA, Reino Unido, Eslováquia e Brasil, mostrando pretensão de expansão internacional do "produto" criminoso.
Como reconhecer e prevenir: o ponto mais explorável nesse golpe é a combinação de voz e urgência — nenhum banco liga pedindo para o cliente ler um código OTP em voz alta ou instalar um app de "proteção" fora da loja oficial durante a ligação. Do lado técnico, apps Android que pedem permissão de leitura ou gerenciamento de SMS sem justificativa clara de funcionalidade são um forte sinal de alerta, já que um app bancário legítimo não precisa disso; e bancos deveriam considerar migrar a segunda camada de autenticação para fora do SMS (push assinado, app authenticator), exatamente porque esse é o elo que o GXC Team e grupos semelhantes têm mirado sistematicamente.