Caixa vazia: três grupos de fraudadores por trás de golpes de falsa entrega em Singapura
A Group-IB mapeou três grupos distintos de criminosos que se passavam pela operadora postal SingPost para roubar dados pessoais e bancários de vítimas em Singapura, somando dezenas de vítimas confirmadas e prejuízo de centenas de milhares de dólares. As táticas variavam de SMS fraudulentos com cobrança de falsas taxas de entrega até aplicativos Android trojanizados que interceptavam SMS para roubar códigos OTP, e até phishing em tempo real com técnica man-in-the-middle para burlar a autenticação de dois fatores.
O caso investigado pela Group-IB em Singapura ilustra bem como um mesmo pretexto — a notificação de encomenda parada na alfândega ou aguardando pagamento de taxa — pode ser explorado por operações criminosas de sofisticação técnica muito diferente. Os três grupos identificados usavam a marca da operadora postal nacional SingPost como isca, mas cada um construiu uma cadeia de ataque própria.
O primeiro grupo operava o smishing mais tradicional: SMS com links encurtados direcionavam a páginas falsas que cobravam uma pequena "taxa de liberação" da encomenda, capturando dados de cartão que depois eram usados para assinaturas recorrentes não autorizadas — um detalhe importante, pois o prejuízo real muitas vezes só aparece semanas depois, na fatura do cartão. O segundo grupo elevou a aposta ao distribuir aplicativos Android disfarçados de navegador fora da Play Store, que solicitavam permissões de acesso a SMS, contatos e histórico de chamadas — permissões usadas para interceptar os códigos OTP enviados pelo banco da vítima e assim validar transações fraudulentas em tempo real. O terceiro grupo foi o mais avançado tecnicamente, empregando phishing em tempo real (man-in-the-middle) que retransmite as credenciais e o segundo fator inseridos pela vítima diretamente para o site legítimo no momento do ataque, neutralizando a proteção de 2FA baseada em OTP.
Em termos de escala, a Group-IB identificou cerca de 150 sites fraudulentos distintos usados nessas campanhas, o que mostra a velocidade com que essa infraestrutura é criada e descartada — um padrão comum em campanhas de smishing, que dependem de domínios de vida curta para escapar de bloqueios e listas de reputação.
A lição prática para o usuário é desconfiar sistematicamente de qualquer SMS sobre encomendas que peça pagamento de taxa via link, e nunca instalar aplicativos fora das lojas oficiais, especialmente quando a instalação é motivada por um SMS de rastreamento. Para quem recebe notificações de entrega, o caminho seguro é sempre digitar manualmente o endereço oficial da transportadora ou usar o aplicativo oficial já instalado, nunca clicar em links recebidos por mensagem. Do lado da defesa, o caso reforça a importância de OTP resistente a phishing (como passkeys ou autenticação baseada em FIDO2) frente a esquemas de real-time phishing que já demonstraram capacidade de neutralizar o 2FA tradicional.