Carders canibais: golpistas criam lojas falsas de cartões roubados para enganar outros criminosos
A Group-IB identificou três grandes redes de sites falsos que se passam por lojas underground de venda de dados de cartões roubados, cobrando 'taxas de ativação' de vítimas que nunca recebem nada em troca. Uma das redes, batizada SPAGETTI, operava mais de 3 mil domínios e movimentou mais de US$ 1,2 milhão, além de distribuir o infostealer Taurus Project para roubar credenciais bancárias e carteiras cripto das próprias vítimas. É um caso de fraude 'entre criminosos', mas que evidencia técnicas de phishing e distribuição de malware financeiro replicáveis contra qualquer usuário.
A Group-IB revelou a existência de três grandes redes de sites fraudulentos que imitam lojas ilegais de venda de dados de cartões de crédito roubados (as chamadas 'carding shops'). O fenômeno, apelidado de 'carders canibais', mostra golpistas enganando outros golpistas: em vez de vender dados reais de cartões, essas páginas cobram uma 'taxa de ativação' de US$ 20 a US$ 200 para dar acesso à suposta loja, e a vítima nunca recebe produto algum.
A técnica opera de três formas: criação de lojas genéricas do zero usando termos comuns do submundo criminoso (cc, dump, cvv, shop); clonagem visual e de domínio de lojas legítimas já estabelecidas para phishing direto; e sequestro de domínios expirados de lojas antigas para herdar tráfego e reputação. As redes identificadas têm escala expressiva: UniFake operava mais de 100 domínios (US$ 17 mil movimentados), JokerMantey tinha mais de 20 domínios com 304 transações (US$ 220 mil), e a maior, SPAGETTI, chegou a 3.000+ domínios, mais de 9.200 transações e mais de US$ 1,2 milhão em receita fraudulenta.
O ponto mais sensível para o público geral é que a rede SPAGETTI não se limitava a extrair pagamento fraudulento: ela também distribuía o infostealer Taurus Project, malware que coleta dados salvos em navegadores, credenciais bancárias e carteiras de criptomoedas dos computadores das vítimas. Ou seja, quem tentava comprar dados roubados de cartões acabava tendo seus próprios dados financeiros roubados.
Como prevenção prática, o caso reforça princípios úteis mesmo fora do submundo criminoso: desconfiar de sites que pedem pagamento antecipado por acesso a conteúdo, verificar diferenças sutis em domínios clonados (erros de digitação, TLDs estranhos) e nunca baixar executáveis ou extensões oferecidos como 'acesso' a supostas vantagens. Para equipes de inteligência de ameaças, o caso também demonstra como threat actors usam infraestrutura de phishing em massa para escalar fraude e distribuição de malware financeiro simultaneamente.