Kit de phishing "JWR" dá a golpistas visão ao vivo da vítima digitando dados de cartão e documentos
A Cisco Talos identificou o JWR, uma plataforma de phishing-as-a-service que transmite ao vivo, via WebSocket criptografado, a tela da vítima para o atacante enquanto ela preenche dados de cartão, CVV, senha, 2FA e documentos como passaporte. Isso permite ao golpista interagir em tempo real e guiar a vítima para maximizar o roubo, e as campanhas já miram autoridades de trânsito e serviços postais na Ásia e nos Emirados Árabes com pretexto de multas e taxas de entrega.
O JWR eleva o padrão dos kits de phishing comerciais ao adicionar um componente de "adversary-in-the-middle" com interação humana ao vivo. Em vez de apenas coletar credenciais em um formulário estático e enviá-las depois para o operador, o motor do lado do cliente transmite a tela da vítima em tempo real para um painel do atacante através de um canal WebSocket cifrado com AES-CTR. Isso significa que, enquanto a vítima digita, o criminoso já está vendo campo por campo e pode ajustar o fluxo da página na hora — por exemplo, forçando um novo pedido de código 2FA se o primeiro falhar, ou pedindo o verso do documento se a foto enviada estiver ilegível.
O kit foi desenhado para captura ampla: número de cartão, CVV, data de validade, PIN, SSN (ou equivalente de identidade), fotos de passaporte, código 2FA, credenciais de sites e dados de contas PayPal, além de fazer fingerprinting do dispositivo da vítima. As campanhas documentadas pela Cisco Talos usam como isca cobrança de pedágio eletrônico, multas de trânsito e taxas de serviços postais — temas que geram urgência e que a vítima já espera pagar online, reduzindo a desconfiança natural diante de um link recebido por SMS ou e-mail.
O diferencial de risco em relação a um phishing kit comum é justamente a supervisão humana em tempo real: campanhas automatizadas tendem a falhar quando a vítima hesita, erra um campo ou abandona o formulário; com controle ao vivo, o operador consegue reagir a esses momentos de fricção e recuperar a conversão, funcionando de forma parecida com um vishing guiado, mas em formato de página web. Isso também dificulta a defesa baseada só em bloqueio de URL, porque o kit pode alterar dinamicamente o conteúdo da página conforme o operador decide, dificultando a assinatura estática do conteúdo malicioso.
Para prevenção, o ponto mais importante é desconfiar de qualquer cobrança de pedágio, multa ou taxa postal recebida por SMS ou e-mail que peça pagamento com urgência: o ideal é acessar o serviço diretamente pelo site ou app oficial, nunca pelo link da mensagem. Times de segurança e antifraude devem monitorar tráfego de WebSocket incomum originado de páginas de login/pagamento e reforçar autenticação multifator resistente a phishing (como chaves FIDO2) já que 2FA por código simples pode ser capturado e retransmitido em tempo real por esse tipo de kit.