The Fraud Family: dentro de uma operação de Fraude como Serviço contra holandeses
A Group-IB expôs a Fraud Family, um grupo criminoso de língua neerlandesa que vendia e alugava kits de phishing completos, com painéis de controle em tempo real, para outros golpistas atacarem residentes da Holanda e Bélgica. O esquema incluía bypass de autenticação de dois fatores e spoofing de marcas de bancos e empresas conhecidas. A investigação, feita em colaboração com a polícia holandesa, resultou na prisão de dois suspeitos.
A Group-IB identificou e ajudou a desmantelar a Fraud Family, um sindicato de cibercrime que operava um verdadeiro negócio de 'Fraude como Serviço' (Fraud-as-a-Service) voltado a atacar residentes da Holanda e da Bélgica. Em vez de executar os golpes diretamente, o grupo criava e alugava infraestrutura de phishing pronta para uso, permitindo que criminosos com pouca habilidade técnica lançassem campanhas convincentes contra vítimas reais.
O modelo de negócio incluía kits de phishing completos, domínios e hospedagem já preparados, ferramentas anti-bot para dificultar a análise por pesquisadores de segurança, e painéis web de gerenciamento como o 'Express Panel' (otimizado para dispositivos móveis) e o 'Reliable Panel', alugados por cerca de 200 a 250 euros por mês. Esses painéis eram versões customizadas de um framework chamado U-Admin, e permitiam que o operador interagisse com a vítima em tempo real durante o ataque — inclusive solicitando o código de autenticação de dois fatores no momento exato em que a vítima o recebia, driblando essa camada extra de segurança.
Os ataques chegavam às vítimas por e-mail, SMS ou WhatsApp, se passando por bancos e empresas conhecidas, um clássico esquema de engenharia social combinado com spoofing de marca. O grupo divulgava e vendia seus serviços abertamente em canais de Telegram, chegando a operar pelo menos oito canais com cerca de dois mil inscritos somados.
Para o usuário final, o alerta prático é reconhecer que mensagens pedindo login urgente ou código de verificação por SMS/WhatsApp, mesmo parecendo vir do banco, podem estar sendo operadas por um atacante ao vivo do outro lado de um painel como esse. Nunca informar códigos de 2FA a terceiros e sempre digitar o endereço do banco manualmente, em vez de clicar em links recebidos, são as defesas mais eficazes contra esse tipo de operação industrializada de phishing.