GoldFactory: campanha de malware bancário na Ásia mostra que defesa fundida corta fraude em 9 vezes
Um relatório da Group-IB compara os desfechos de dois bancos atingidos pela mesma campanha de malware bancário GoldFactory, que já infectou cerca de 11 mil dispositivos na Indonésia, Tailândia e Vietnã e causou entre US$ 1,5 e 2 milhões em prejuízos. Enquanto o mercado registra fraude bem-sucedida em cerca de 0,25% dos aparelhos comprometidos, a instituição que unificou detecção, atribuição e resposta a incidentes reduziu essa taxa para 0,027% — nove vezes menor. O caso mostra que a arquitetura de resposta a fraude, e não apenas a detecção do malware em si, é o que determina o prejuízo final.
A campanha GoldFactory, atribuída a um cluster de ameaça de língua chinesa, mirou contribuintes ao falsificar a plataforma nacional de impostos da Indonésia, serviço com 67 milhões de usuários registrados. Foram identificadas 228 amostras distintas de malware e 996 URLs de phishing gerados por um framework centralizado, além de mais de 16 marcas legítimas imitadas (ministérios, companhias aéreas, distribuidoras de energia), o que evidencia uma operação industrializada e não um ataque isolado.
A cadeia de infecção por trás do golpe tem cinco etapas encadeadas: primeiro, uma ligação de phishing por voz via WhatsApp, com o atacante se passando por um fiscal; em seguida, a vítima é induzida a instalar um APK malicioso disfarçado de aplicativo oficial; o app abusa de frameworks de hooking e do serviço de acessibilidade do Android para tomar controle do aparelho; a partir daí o operador grava a tela em tempo real para colher credenciais e dados sensíveis; e, por fim, rouba dados biométricos faciais da vítima para burlar verificações de liveness usando deepfakes, permitindo drenar contas mesmo com autenticação biométrica ativa.
O ponto central do relatório não é o malware, mas a diferença de resposta entre as instituições atingidas. O banco com abordagem tradicional dependia de assinaturas de antivírus e sinalizações isoladas, com atribuição manual lenta e sem visão rápida do impacto real do incidente. Já o banco com defesa fundida operava uma rede de alerta antecipado, atribuição automatizada em minutos, avaliação de impacto e relatórios regulatórios gerados automaticamente, além de visão unificada e correlacionada de todos os sinais do incidente — o que se traduziu na taxa de fraude nove vezes menor.
Para equipes antifraude, a lição prática é que correlação em tempo real entre canais (device fingerprinting, telemetria de app, comportamento transacional e inteligência de ameaças) reduz o prejuízo mais do que apenas adicionar detecção pontual de malware. O relatório também nota uma tendência regulatória: reguladores no Reino Unido, Singapura, Austrália, Emirados Árabes, Arábia Saudita e União Europeia já exigem responsabilização por falha preventiva, prevenção em tempo real e compartilhamento obrigatório de inteligência entre instituições.
Para o usuário final, o golpe reforça sinais de alerta já conhecidos: desconfiar de ligações não solicitadas por WhatsApp de supostos órgãos públicos, nunca instalar APKs enviados por link fora das lojas oficiais, e questionar qualquer solicitação de verificação facial acionada por uma chamada recebida, mesmo quando o app parece oficial.