RUNLIR: campanha de smishing com mais de 750 domínios mira clientes bancários na Holanda
O CERT-GIB do Group-IB descobriu uma campanha de phishing via SMS (smishing) que usa mais de 750 domínios para se passar por bancos e outras instituições holandesas, aplicando uma tática batizada de 'corte o cartão' para roubar credenciais bancárias completas. A técnica combina engano digital com uma etapa física inédita no país: pedir que a vítima corte o próprio cartão (que continua funcional) e agende a 'retirada' por um suposto funcionário do banco. As páginas de phishing usavam geolocalização e ferramentas anti-bot para evitar detecção, chegando a durar 6 dias no ar contra a média de 24 horas.
O time de resposta a incidentes CERT-GIB, ligado ao Group-IB, identificou em março de 2021 uma campanha massiva de phishing por SMS (smishing) mirando residentes da Holanda, com sinais de expansão para Alemanha, Bélgica e outros países europeus. A infraestrutura reunia mais de 750 domínios interligados, todos se passando por bancos, empresas de transporte, logística, telecomunicações e órgãos governamentais.
A técnica, apelidada pelos pesquisadores de 'corte o cartão', segue cinco etapas bem orquestradas. Primeiro, a vítima recebe um SMS alertando sobre a expiração do cartão bancário. Ao clicar no link, é levada a uma página falsa que solicita dados bancários e o token do dispositivo e.dentifier (usado por bancos holandeses para autenticação). Em seguida, o golpe coleta dados pessoais adicionais como nome, endereço, CEP e data de nascimento. Depois, pede o PIN atual do cartão e instrui a vítima a cortá-lo fisicamente ao meio — mas o corte é feito de forma que o chip continue funcional, sem que a vítima perceba. Por fim, os criminosos agendam uma 'visita' para recolher o cartão cortado, completando o roubo físico do meio de pagamento já com todas as credenciais necessárias para esvaziar a conta.
Do ponto de vista técnico, a campanha usava a ferramenta anti-bot BlackTDS para filtrar tráfego de pesquisadores e sistemas automatizados, hospedagem fornecida por um provedor associado a atividades maliciosas e kits de phishing uAdmin. Um diferencial notável é o uso de geolocalização para validar se o acesso partia de uma rede móvel holandesa genuína, dificultando a análise por pesquisadores estrangeiros. Graças a essas defesas, as páginas de phishing sobreviviam em média 6 dias no ar, bem mais que as 24 horas típicas desse tipo de campanha.
As recomendações práticas incluem: nunca clicar em links recebidos por SMS ou e-mail alegando problemas com cartões bancários; sempre digitar o endereço oficial do banco manualmente ou usar o aplicativo bancário oficial; desconfiar de qualquer solicitação para cortar, entregar ou enviar fisicamente um cartão a terceiros, já que bancos legítimos nunca pedem isso; e reportar tentativas de smishing ao CERT local ou ao próprio banco assim que identificadas.