Quadrilha chinesa PostalFurious usa smishing de encomendas para roubar cartão e OTP em Singapura e Austrália
A Group-IB documentou a operação da PostalFurious, grupo de língua chinesa ativo desde 2021 que envia SMS falsos de "entrega não realizada" imitando transportadoras reais para induzir a vítima a acessar sites de phishing com typosquatting. As páginas filtram por geolocalização e tipo de dispositivo para só exibir o golpe a alvos relevantes, coletando dados de cartão de crédito e código OTP para realizar transações não autorizadas. A infraestrutura, baseada em kits de phishing em Laravel com painel administrativo, foi rastreada até templates preparados também para França e outros países da Ásia-Pacífico.
O smishing de encomendas — SMS avisando que uma entrega falhou e pedindo que a vítima "reagende" pelo link — já é golpe conhecido, mas a operação da PostalFurious documentada pela Group-IB mostra o nível de engenharia por trás de uma campanha profissional desse tipo. O grupo, de língua chinesa e ativo desde pelo menos 2021, monta rapidamente infraestrutura de rede em grande escala e a rotaciona com frequência justamente para dificultar takedown e atribuição — o nome vem dessa combinação de tema postal com a velocidade de reação da rede.
O fluxo do golpe começa com uma mensagem de texto que imita marcas de transporte reais, informando uma entrega frustrada e incluindo link encurtado. O link leva a um site que reproduz fielmente o design e a URL (via typosquatting) da transportadora legítima. A camada mais sofisticada é a filtragem: as páginas verificam geolocalização e tipo de dispositivo do visitante, mostrando o golpe apenas a quem se encaixa no perfil de alvo esperado e redirecionando o restante — inclusive pesquisadores acessando de desktop — para conteúdo inofensivo, como vídeos do YouTube, dificultando a análise automatizada da campanha.
A etapa final é onde a fraude se torna financeira de fato: para "liberar" a encomenda, a página pede dados completos de cartão de crédito e, em seguida, o código OTP recebido por SMS do banco — que os operadores usam em tempo real para autorizar transações fraudulentas na conta da vítima. Toda a operação roda sobre um kit de phishing customizado em Laravel, com painel administrativo que permite aos operadores acompanhar estatísticas de campanha e número de vítimas capturadas, e templates já prontos para reaplicar o golpe em outros países da Ásia-Pacífico e na França.
O ponto central de prevenção é lembrar que nenhuma transportadora legítima pede dados de cartão de crédito ou código OTP para liberar uma entrega — o rastreio de encomenda não envolve cobrança nem verificação financeira desse tipo. Diante de um SMS de entrega, o caminho seguro é acessar o site oficial da transportadora digitando o endereço manualmente (nunca pelo link da mensagem) e conferir o código de rastreio ali. Bancos e emissores de cartão também podem reduzir o risco reforçando que o OTP nunca deve ser compartilhado, incluindo em telas fora do próprio app do banco ou da loja onde a compra está sendo feita.