Canivete suíço do phishing: campanha ativa desde 2019 mira clientes de 27 bancos vietnamitas
A Group-IB identificou uma campanha massiva de phishing com 240 domínios interligados que se passam por 27 instituições financeiras do Vietnã, ativa desde maio de 2019. Vítimas são atraídas por SMS, Telegram, WhatsApp e comentários falsos em redes sociais, levadas a um site que lista os bancos e depois a um portal clonado que rouba tanto a senha quanto o código OTP em tempo real, permitindo acesso imediato à conta real.
A campanha apelidada de "Swiss Army Knife Phishing" pela Group-IB chama atenção pela longevidade e pela escala: 240 domínios interconectados imitando 27 bancos vietnamitas diferentes, operando de forma contínua desde maio de 2019, com novos domínios sendo ativados regularmente para substituir os que são bloqueados ou denunciados — uma tática de rotatividade de infraestrutura semelhante à observada em outras campanhas de phishing bancário em larga escala.
O vetor de distribuição é multicanal: SMS, mensagens no Telegram e WhatsApp, e até comentários falsos em posts oficiais de bancos nas redes sociais, todos usando links encurtados e gatilhos de urgência clássicos de engenharia social, como avisos de prazos expirando ou prêmios a resgatar. Ao clicar, a vítima cai em uma página "hub" que exibe os logos dos 27 bancos parceiros do golpe, permitindo ao fraudador atingir clientes de qualquer uma dessas instituições com a mesma infraestrutura, e depois é redirecionada ao clone específico do banco escolhido.
O detalhe técnico mais importante do golpe é o sequestro de sessão em tempo real: os criminosos não se limitam a capturar login e senha estáticos. Assim que a vítima insere as credenciais no site falso, os atacantes as usam imediatamente para logar na conta real no banco verdadeiro, o que dispara o envio de um código OTP genuíno ao celular da vítima. Como a vítima está na página falsa esperando concluir o login, ela digita esse OTP verdadeiro no site fraudulento, entregando aos criminosos a chave final para tomar controle total da conta — um esquema de phishing em tempo real (man-in-the-middle) que neutraliza a proteção do segundo fator baseado em SMS.
O impacto documentado é apenas a ponta do iceberg: milhares de visitantes foram contabilizados em apenas uma fração dos domínios mapeados, com dados bancários e de identidade das vítimas posteriormente comercializados em mercados clandestinos. Como prevenção prática, bancos e clientes devem tratar qualquer OTP como válido apenas para a transação que o próprio cliente iniciou ativamente no app ou site oficial — nunca inserir um código recebido por SMS em uma página aberta a partir de um link externo, por mais legítima que ela pareça, e preferir sempre acessar o banco digitando o endereço manualmente ou pelo aplicativo oficial.